2025年度Botnet趋势报告

2025 年僵尸网络趋势报告总结

核心观点与关键数据

• 僵尸网络成为大国网络竞争的重要武器：僵尸网络被用于发起高强度 DDoS 攻击，瘫痪目标国家的关键基础设施；通过协调的僵尸网络活动操纵公众舆论，传播恶意宣传，影响敌对国家的内部舆论；以及表达政治立场，参与特定时间的派系争斗。
• 关键数据：
  • 中国游戏《黑神话：悟空》发布后遭受大规模 DDoS 攻击；中国首个高性能开源 LLM 发布当天遭受持续 DDoS 攻击；美国总统选举和法国逮捕 Telegram 创始人事件期间，僵尸网络多次针对关键基础设施发起 DDoS 攻击。
  • 2024 年 11 月 6 日，美国举行了第 47 届总统和议会选举，攻击者使用 Mirai 僵尸网络家族发起攻击，攻击基础设施主要位于北美和欧洲。
  • 2024 年 8 月 24 日，Telegram 创始人 Pavel Durov 在巴黎被逮捕，24 小时内针对法国的 DDoS 攻击强度急剧上升，达到前所未有的规模。
  • 2024 年，Mirai 僵尸网络控制了最多的 C&C 服务器，并具有最频繁的攻击活动；Mozi 僵尸网络恶意样本的传播仍然很高，尽管其控制者已被执法机构逮捕，但其 P2P 网络结构的稳定性使其能够继续传播。
  • 中国是受僵尸网络攻击最严重的国家，而僵尸网络的控制端大多位于国外，其中大部分来自美国。
  • 2024 年，NSFOCUS Fuying Lab 的全球威胁狩猎系统监测到超过 100 万条攻击指令，其中 Mirai 及其变体家族占总指令数的 68%，XORDDOS 家族占 23%，hailbot 家族和 Gafgyt 家族分别占 5% 和 2%。
  • 近 120 个国家遭受了僵尸网络发起的 DDoS 攻击，其中中国占 34%，美国占 17%，加拿大占 10%，德国占 4%。
  • 僵尸网络倾向于使用 UDP FLOOD 攻击，从攻击指令类型来看，SYN FLOOD 和 UDP FLOOD 攻击最为常见。

僵尸网络发展趋势

• 漏洞利用与传播：Linux/IoT 平台僵尸网络继续通过利用漏洞和弱密码进行传播，而 Windows 平台僵尸网络主要依赖于钓鱼邮件和社会工程学策略进行入侵。
• 攻击活动分析：Mirai 僵尸网络攻击最为频繁，XORDDOS 家族在 9 月份的攻击活动异常活跃，Gorillabot 在 9 月份发布了超过 300,000 条攻击指令。
• 僵尸网络发展与对抗：
  • 僵尸网络对抗日益激烈，攻击者采用各种技术手段绕过传统流量监控设备，并在文件层面采用新的打包技术来规避杀毒软件。
  • 新的僵尸网络家族不断涌现，如 Mirai 变体家族 gayfemboy、Labot、Moobot_webserv，Gorillabot、TBOT、Catddos、Zergeca 等。
  • 僵尸网络团伙活动频繁，如 Hail 团伙、KekSec 团伙、Bigpanzi 团伙等。
• 未来预测：
  • 国家支持的僵尸网络数量将增加。
  • APT 和勒索软件团伙将更多地利用僵尸网络。
  • 以利润为导向的僵尸网络团伙将模仿“代发货”模式。
  • 僵尸网络木马的隐蔽性将增强。
  • 越来越多的黑客团伙将使用单独的传播工具，以防止关键信息的泄露。
  • Windows 平台的社会工程学手段将更加普遍。