botnet

僵尸网络如何运作

恶意软件或攻击者攻陷个人电脑、服务器、路由器或物联网设备后，就可能形成僵尸网络。设备通常会因软件未及时安装补丁、下载恶意文件，或对外暴露的服务使用弱密码而感染。

每台受感染的设备称为僵尸设备（Bot），通过命令与控制基础设施接收指令。这套控制系统可能使用中心服务器，也可能采用点对点架构。设备所有者通常不知道设备正在替他人执行任务。

僵尸网络能做什么

一条指令就能协调大量设备开展以下活动：

• **DDoS 攻击：**用大量流量淹没服务，使正常用户无法访问。
• **发送垃圾邮件和传播恶意软件：**散布骚扰信息、恶意链接或受感染的文件。
• **窃取数据和登录凭据：**收集密码、支付信息或其他隐私数据。
• **滥用资源：**转发流量、实施广告欺诈或挖掘加密货币。

僵尸网络与正规代理网络的区别

两者都可能从多个 IP 地址发出流量，但关键区别在于控制方式和是否取得同意。

用户明确同意后，带宽共享应用可以将用户的网络连接接入代理网络。如果没有获得知情授权，暗中控制设备的软件可能构成僵尸网络的一部分。

僵尸网络为何与代理用户密切相关

网站会综合使用 Bot 检测、请求模式、账号信号和 IP 信誉数据。某个地址一旦发出僵尸网络流量，可能被列入 IP 黑名单、触发验证码和限速，网站也可能拦截其请求。

仅凭 IP 地址无法证明某台设备已经感染。多个用户可能通过路由器、运营商网络或企业网关共用同一个公网地址。同样，使用代理并不会让获授权的自动化操作变成僵尸网络；判断的关键在于设备是否受到未经授权的控制。

保护设备，避免被纳入僵尸网络

• 及时安装操作系统更新，并更新路由器和物联网设备的固件。
• 更改默认密码，为不同设备使用不同的登录凭据，并在支持时启用多因素认证。
• 关闭不用的远程管理功能、端口和服务。
• 监控异常的出站连接、DNS 流量和带宽使用情况。
• 如果怀疑设备已经感染，应断开网络连接，扫描设备或重装系统，并在确认未受感染的设备上更改登录凭据。

常见问题

所有互联网机器人都是僵尸网络的一部分吗？

不是。搜索引擎爬虫、监控程序和客服机器人都可以在获得授权后运行。僵尸网络由未经所有者许可而受控的设备组成。

住宅代理网络是僵尸网络吗？

不能仅凭“住宅代理网络”这一名称认定它是僵尸网络。住宅描述的是 IP 地址类型，僵尸网络描述的是对受感染设备的未经授权控制。两者的区别取决于网络如何获得这些设备，以及用户是否知情同意。

如何判断我的设备是否在僵尸网络中？

通常无法凭单一现象确认。异常网络流量、处理器占用率过高和陌生进程都可能是警示信号，但安全扫描和网络日志审查能提供更有力的证据。