殭屍網路如何將數百萬家用裝置變成全球攻擊網路

研究人員估計，任何時刻都有數百萬部連上網路的裝置，正接收並執行來自機主以外人士的指令。這不是看得見的劫持——沒有勒索訊息，也沒有明顯的速度變慢。裝置依然播放影片、轉送流量、照常運作；但它同時還在做另一件事：轉送網路流量、測試遭竊的密碼，或攻擊地球另一端的伺服器。機主甚至不會收到任何相關帳單。

這種架構稱為殭屍網路（botnet）：由遭入侵的機器組成，每部機器都是一個殭屍節點，並受名為命令與控制基礎設施（command-and-control infrastructure，簡稱 C&C）的中央指揮層操控。幕後操作者稱為殭屍網路主控者（botmaster）。規模從數千部裝置到數千萬部不等：美國當局於2024年5月瓦解的 911 S5 網絡，十年間掌控了2,800萬個受感染的 IP 位址。

裝置如何被納入殭屍網路

裝置遭入侵，最常見的途徑有兩種。第一種是憑證過於薄弱：路由器、攝影機和數位錄影機出廠時，往往仍使用預設密碼，例如「admin」、「1234」，甚至完全沒有密碼。網路掃描工具不到一小時，就能列出數十萬部仍啟用這些預設設定的裝置。第二種途徑則是利用漏洞：消費級硬體的韌體漏洞，往往多年都未獲修補。Mozi 殭屍網路幾乎全靠利用路由器和數位錄影機中已知的遠端程式碼執行漏洞，感染超過150萬部裝置；這些裝置的機主從未安裝更新。裝置一旦遭到入侵，便會立刻開始掃描下一個受害者，感染過程也因此能自行持續。

三種架構，三種韌性

最簡單的 C&C 模式是集中式架構。早期殭屍網路使用 IRC 頻道，殭屍網路主控者輸入指令後，所有連線中的殭屍節點便會照令執行。現代集中式殭屍網路則使用 HTTP 或 HTTPS，讓裝置定時連線至指定網址查詢指令。這種架構容易建立、操作迅速，但有一項結構上的弱點：所有控制都繫於單一故障點。安全研究人員和執法機關已透過查封 C&C 伺服器，或將其網域轉向無害的網路沉洞，瓦解數百個集中式殭屍網路。整個網絡往往在數小時內便會失去聯繫。

點對點（P2P）殭屍網路的設計，就是為了在這類打擊下存續。在 P2P 架構中，每個殭屍節點既是用戶端，也是中繼節點。殭屍網路主控者可以從任意入口注入指令，再由指令在網絡中傳播，就像資訊在人群中流轉一樣；因此沒有單一的瓶頸可供切斷。Mirai 殭屍網路曾於2016年癱瘓 DNS 服務供應商 Dyn，令美國和歐洲大部分地區無法使用 Twitter、Netflix 和 Reddit；它同時採用了集中式和 P2P 架構的元素。後續出現的殭屍網路，則進一步轉向純 P2P 架構。

第三種提升韌性的方式，是網域生成演算法（domain generation algorithm，簡稱 DGA）。配備 DGA 的惡意程式不會連往固定的伺服器位址，而是每天根據一組只有殭屍網路主控者知道的共同種子，以演算法產生數千個候選網域名稱。防守方封鎖其中一個網域並無作用，殭屍程式會依序嘗試下一個。要瓦解配備 DGA 的殭屍網路，必須預測其演算法並預先註冊所有候選網域，或部署以機器學習為基礎的 DNS 過濾系統，辨識演算法生成網域名稱所留下的統計特徵。

殭屍網路實際上會做什麼

殭屍網路是一種可供租用的基礎設施。最常見的用途是分散式阻斷服務攻擊（DDoS）：指揮數千部裝置向目標伺服器灌入流量，直到伺服器不堪負荷而癱瘓。Aisuru 網絡在2025年發動的攻擊，流量峰值達每秒31.4太位元。憑證填充攻擊則會將遭竊的帳號與密碼組合，以單一機器不可能達到的速度，逐一嘗試登入銀行和電子商務網站；平台公布資安事故時，許多引發新聞關注的帳戶遭盜事件，背後都涉及這種手法。加密貨幣挖礦會徵用數千部裝置的運算能力，操作者卻不必支付電費。代理伺服器出租則是最隱蔽的用途：ASocks 網絡將1,700萬個受感染的 IP 位址出租給付費客戶，讓他們的流量看起來像是來自一般住家，而非資料中心。

殭屍網路遭到瓦解後，往往幾個月內便會重建。這種威脅帶來的經濟利益太大，單靠執法難以令其消退。招募一部新裝置幾乎不花成本——數以億計的路由器仍連在網路上，使用預設憑證，韌體也早在數年前就停止更新。最容易受害的並非由 IT 團隊管理的企業伺服器，而是散布在最多家庭中的廉價硬體；它們長時間無人看管，風險也就最高。

個人可以降低自身裝置遭利用的風險。路由器或智慧裝置首次使用前，只要更改預設登入資料，就能堵住最常見的入侵途徑。韌體有更新時及時安裝，便能修補殭屍網路招募程式原本鎖定的漏洞。關閉不使用的遠端管理功能，也能縮小裝置遭攻擊的範圍。現今的 DNS 過濾服務已加入機器學習功能，可偵測 DGA 流量模式。這些措施都無法阻止已經運作中的殭屍網路操作者，卻能讓自己的裝置不再成為下一波招募的目標。

標籤: 網路安全, 惡意軟體, 殭屍網路, DDoS, IoT安全, 網路防護