执行摘要
2023年全球网络安全环境持续恶化，僵户网络攻击活动日益猖獗。入侵与感染方面，随着网络设备和接口数量的高速增长，攻击者可利用的暴露面也在不断扩大，弱口令、安全漏洞、钓鱼网站与邮件、社交工程等入侵手段仍然备受攻击者的青睐。受害者的地理分布与当地经济条件密切相关，发达地区的网络安全风险尤为突出。关键基础设施遭受攻击的情况日益严重，网络安全建设薄弱的部门成为攻击者渗透的首选目标，其中教育行业尤为明显。文件侧隐匿方面，僵户网络新家族除了使用常规的规避手段以外，“混淆视听”正在流行，即通过使用已知家族代码对杀毒软件检测结果进行混淆，隐匿新家族身份。编程语言选择上，使用Golang、Rust等易编程语言的木马家族数量正持续增加，这类语言构建时的打包、内联特性会在二进制层面增加了数量巨大的额外代码，在某种程度上对静态分析检测造成困难。此外，攻击者向木马主动或被动添加垃圾与冗余代码，导致恶意软件体积扩大，进而影响杀软的判断与识别。通信侧隐匿方面，除隧道、DGA外，近两年一些新型对抗手段也在走向实践。扩大影响力方面，越来越多的僵户网络团伙采取高调宣传策略，他们直接利用互联网进行宣传，将YouTube、Twitter这样的社交媒体作为他们的活动阵地。发展轨迹方面，僵户网络团伙在覆取利益方面有着大而统一的发展总路线。主要体现在从无到有、从低到高、从单平台到多平台、从单一业务到DDoS和挖矿通吃的过程。
僵户网络发展趋势
针对关键基础设施的攻击愈演愈烈，教育行业尤为严重。僵户网络成为高级威胁攻击的跳板，常被用于传播其他各类恶意软件，为后续APT或勒索活动提供关键的跳板作用。
僵户网络入侵与感染全景
路由器成为最常被攻击的设备，携带漏洞年代跨度大，不断集成新漏洞。Mirai家族控制设备数最多。
僵户网络攻击全景
QakBot前三季度C&C数量庞大，Mirai新增C&C数量持续增多。美国控制的C&C数量最多，国内C&C主要分布在沿海地区。Mirai下发指令数最多，UDP类型的DDoS攻击方式备受僵户网络青睐。僵户网络发起的DDoS攻击活动于年底猛增。中美两国遭受攻击最为严重。国内发达地区更易遭受攻击。
僵户网络的发展与对抗
Linux/loT平台新兴家族与变种频繁活跃，Windows平台僵户网络木马家族对抗性持续增强。新兴家族攻击方式与反追踪思路推陈出新。僵户网络新兴团伙活动频繁利用社交媒体进行宣传，Gang123团伙业务范围持续扩大，Rapper团伙涉足挖矿，Hail团伙从托管转向DDoS，Ata团伙目标明确。
未来展望
僵户网络威胁将进一步加剧，呈现高密度、高组织度、高活跃度、高对抗性的发展趋势。针对关键基础设施的攻击活动将会更加频繁。僵户网络与APT，勒索等高级威胁的结合会更加紧密。僵户网络团伙会更加活跃。僵户网络木马的隐匿性将进一步增强。
