僵尸網絡是許多連接互聯網的設備，每個設備運行一個或多個僵尸程序。僵尸網絡可用于執行分布式拒絕服務(DDoS)攻擊、竊取數據、發送垃圾郵件，并允許攻擊者訪問設備及其連接。僵尸網絡所有者可以使用命令和控制(C&C)軟件控制僵尸網絡。“僵尸網絡”英文為“Botnet”一詞是英文“Robot”（機器人）和“Net”（網絡）兩個單詞的合成詞，“僵尸網絡”這個術語通常帶有負面或惡意的含義。

僵尸網絡架構

僵尸網絡架構隨著時間的推移而發展，以逃避檢測和破壞。傳統上，僵尸程序采用C/S星形架構，僵尸網絡控制器從遠程位置執行所有控制，混淆流量。隨著技術發展，僵尸網絡出現依賴基于P2P的對等網絡進行通信，P2P機器人程序執行與C/S架構相同的操作，無需中央服務器進行通信。

C/S模型架構僵尸網絡

基于C/S模型的網絡，單個客戶端從集中式服務器請求服務和資源，第一代僵尸網絡在C/S架構上運行，其中命令和控制(C&C)服務器運行整個僵尸網絡。特點是簡單、集中。

最常見的C&C通信渠道是IRC和 HTTP：

IRC（互聯網中繼聊天）僵尸網絡

IRC 僵尸網絡是最早的僵尸網絡類型之一，并通過預配置的 IRC 服務器和通道進行遠程控制。機器人連接到 IRC 服務器并等待僵尸牧民的命令。

HTTP 僵尸網絡

HTTP 僵尸網絡是一個基于 Web 的僵尸網絡，僵尸牧民使用 HTTP 協議發送命令。僵尸機器將定期訪問服務器以獲取更新和新命令。使用 HTTP 協議允許僵尸牧民將他們的活動掩蓋為正常的網絡流量。

P2P對等網架構僵尸網絡

新一代的僵尸網絡是點對點的，僵尸程序彼此共享命令和信息，而不與 C&C 服務器直接聯系。P2P 僵尸網絡比 IRC 或 HTTP 僵尸網絡更難實施，也更有彈性，因為它們不依賴于一個集中式服務器。相反，每個僵尸程序都作為客戶端和服務器獨立工作，以協調的方式在僵尸網絡中的設備之間更新和共享信息。

僵尸網絡運作步驟：

創建僵尸網絡的階段可以簡化為以下步驟：

第 1 階段，黑客將在網站、應用程序或用戶行為中發現漏洞，從而使用戶暴露于惡意軟件攻擊之下。僵尸牧民采取各種隱蔽手段利用用戶暴露的缺陷，最終使其感染惡意軟件。僵尸牧民可能會利用軟件或網站中的安全漏洞，通過電子郵件、偷渡式下載或特洛伊木馬下載來傳遞惡意軟件。

第 2 階段，受害者的設備被感染可以控制其設備的惡意軟件。最初的惡意軟件感染允許黑客使用網絡下載、漏洞利用工具包、彈出廣告和電子郵件附件等技術創建僵尸設備。如果是集中式僵尸網絡，僵尸牧民會將受感染的設備引導至 C&C 服務器。如果是 P2P 僵尸網絡，則會開始對等傳播，并且僵尸設備會尋求與其他受感染設備的連接。

第 3 階段，當僵尸牧民感染了足夠數量的機器時，就可以發動攻擊。僵尸設備隨后將從 C&C 頻道下載最新更新以接收其訂單。然后，機器人繼續執行其命令并從事惡意活動。僵尸牧民可以繼續遠程管理和發展其僵尸網絡以進行各種惡意活動。僵尸網絡不針對特定個人，因為僵尸牧民的目標是感染盡可能多的設備，以便其進行惡意攻擊。

僵尸網絡攻擊的類型

一旦對手控制了僵尸網絡，惡意的可能性就會很大。僵尸網絡可用于進行多種類型的攻擊，包括：

1. 網絡釣魚

僵尸網絡可用于通過網絡釣魚電子郵件分發惡意軟件，采用自動化模式由大批量被控設備組成，關閉網絡釣魚活動就像玩打地鼠游戲無休無止。

2.分布式拒絕服務（DDoS）攻擊

僵尸網絡可以實現網絡層 DDoS 攻擊，使用SYN 泛洪、UDP 泛洪、DNS 放大和其他旨在消耗目標帶寬并阻止合法請求得到服務的技術。應用層 DDoS 攻擊使用HTTP 泛洪、Slowloris或RUDY 攻擊、零日攻擊和其他針對操作系統、應用程序或協議中的漏洞的攻擊，以使特定應用程序崩潰。許多人會記得大規模的 Mirai 僵尸網絡 DDoS 攻擊，Mirai是一個物聯網僵尸病毒，在DDoS 攻擊期間，僵尸網絡由數十萬個受感染的物聯網設備組成，在2016年造成OVH、DYN和 Krebs on Security 等服務暫停。

3. 垃圾郵件程序

垃圾郵件機器人從網站、論壇、留言簿、聊天室和其他任何用戶輸入電子郵件地址的地方收集電子郵件賬戶，然后這些電子郵件將用于創建和發送垃圾郵件。據統計，超過80% 的垃圾郵件被認為來自僵尸網絡。

防范僵尸網絡建議：

?     定期開展安全意識培訓計劃，教導用戶/員工識別惡意鏈接；

?     始終保持軟件更新，以減少僵尸網絡攻擊利用系統漏洞的幾率；

?     使用雙因素身份驗證來防止僵尸網絡惡意軟件侵入設備和賬戶。

?     更新所有設備的密碼，尤其是連接設備到設備或互聯網的設備上的隱私和安全選項；

?     采取優質防病毒解決方案，保持惡意代碼特征庫最新并定期掃描網絡；

?     在網絡中部署入侵檢測系統(IDS)；

?     在網絡中部署端點保護解決方案，包括 rootkit 檢測功能，可以檢測和阻止惡意網絡流量。

藍隊云提供安全集成、風險評估、漏洞掃描、攻防演練、滲透測試、應急響應、等保合規、密評合規、APP合規等專業的服務，提供SSL證書（包含國密SSL證書）、WEB應用防火墻、DDoS高防IP等專業的產品，能夠滿足政府、企業網絡安全建設需求，歡迎大家咨詢和體驗。