Botnet趋势报告 1 Botnet趋势报告 2 Botnet趋势报告 3 Botnet趋势报告 4 Botnet趋势报告 1一.执行摘要 Botnet趋势报告 22025年，全球地缘局势复杂多变，网络空间的战略博弈同步持续升级，并驱动网络攻击武器库的迭 代演进。僵尸网络作为网络攻击的核心基础设施，其技术范式、运营模式及攻击目标均呈现出深刻的战 略性转变与前所未有的复杂性。攻击者深度整合新兴技术，采用体系化、精细化的运营策略，致力于构 建更具韧性、隐蔽性与破坏性的威胁基础设施，对全球数字安全体系构成多层次、系统性的严峻威胁。 人工智能成为攻防双刃剑，“利用”与“针对”双重威胁凸显。一方面，僵尸网络开始规模化利用 AI技术加速恶意代码构建与发起攻击，2025年末曝光的ShadowRay2.0攻击事件，提供了一个观察AI 与僵尸网络融合的绝佳样本；另一方面，AI平台成为攻击新靶标，DeepSeek等AI服务提供商遭僵尸网 络攻击的事件频发，印证了针对AI基础设施的威胁已落地。 代理型僵尸网络架构兴起，传统静态防御陷入被动。PolarEdge、ContainerBot（伏影实验室命名） 等流量转发型僵尸网络快速崛起，通过动态流量中转大幅提升溯源难度，一旦形成规模便会固化为基础 性攻击设施，导致传统基于IOC的防御体系失效，静态防御策略难以应对其动态规避特性。 移动端威胁呈爆发式增长，Android平台成为犯罪核心前沿。Vo1d、Kimwolf等Android平台僵尸网 络家族持续增长。攻击者聚焦Android设备的核心原因在于其市场占有率高、设备碎片化严重、部分低 端设备安全更新滞后，且控制智能电视等Android大屏设备后，造成大规模广告推送来影响舆论等更深 层次的危害。 感染目标呈现“定向化”与“场景化”深度融合特征，漏洞利用武器化效率空前提升。无差别广泛 扫描逐步被精准打击取代，例如fnone僵尸网络家族（伏影实验室命名）对海康威视摄像头等特定品牌 设备的定向攻击、DayzDDoS对美国军方及政府机构的绕过式扫描、PumaBot通过精准下发目标清单实施 靶向感染；同时，漏洞利用效率显著提升，Nutsbot快速集成React2Shell漏洞，AISURU团伙通过伪造 “官方更新”批量感染Totolink路由器等设备，部分团伙还采用“散弹枪式”策略，同步利用数十至上 百个已知漏洞扩大感染范围。 攻防对抗全面升级，“反检测”与“反追踪”能力成为僵尸网络标配。技术层面，Nutsbot通过跨 端口通信规避追踪，IRC_Tor家族（伏影实验室命名）融合IRC协议与Tor网络、基于OpenNIC通信的 家族数量增多，HpingBot借助合法工具发起DDoS攻击混淆溯源；架构层面，基础设施去中心化趋势明 显，多款僵尸网络采用智能合约托管C&C服务器提升抗打击能力；此外，主机侧自保排他机制、DNS请 求获取加密TXT记录等技术的应用，进一步强化了其隐蔽性。 攻击效能极致化，DDoS攻击呈现“智能化”与“可控化”新特征。HTTPBot发起的事务性DDoS攻击 效能显著提升，“Poxiao”团伙内置多元反射放大型DDoS攻击方式，攻击手段更具多样性；超大规模攻Botnet趋势报告 3击成为常态，Tbps级DDoS攻击频发，攻击峰值记录持续被打破，对目标网络的可用性造成高破坏性打 击。 攻击目标与目的地缘政治关联性增强，关键基础设施风险加剧。攻击者更倾向于选择与国际局势、 AI等行业热点或社会抗议活动相关的目标以扩大影响或达成特定目的，DeepSeek等AI平台屡遭攻击； 智能电视、路由器、摄像头等缺乏安全更新维护的IoT设备仍是主要感染目标，其被控制后不仅可能引 发关键基础设施运行中断的风险，还可能将大屏设备用于舆论宣传，影响社会稳定。 运营模式持续演进，与高级威胁深度绑定。盈利模式从单一DDoS攻击转向多元化，AISURU、Kimwolf 等新型僵尸网络将受控设备作为代理服务节点出售，为其他网络犯罪提供匿名通道，形成稳定收入来源； 僵尸网络成为高级威胁攻击的“跳板”。APT或勒索团伙利用僵尸网络节点收集目标环境的情报信息， 进而投递后续攻击组件，或者利用已获取的立足点分发邮件，充当代理，为后续攻击做准备。Botnet趋势报告 4二.僵尸网络威胁演化趋势分析