僵尸网络是由攻击者控制的一系列被入侵的设备组成的网络。每台受感染的机器都被称为“僵尸”或“机器人”。通常情况下，设备所有者对此毫不知情。这些设备种类繁多，从家用路由器和网络摄像头到完整的服务器和工业控制器，应有尽有。攻击者通过命令与控制通道（通常使用 IRC、HTTP 或点对点协议）来操控这些设备。之后，攻击者可以将僵尸网络出租，用于分布式拒绝服务攻击、垃圾邮件活动、撞库攻击或加密货币挖矿。

2016年，Mirai病毒通过感染数十万台物联网设备并利用默认密码发起破纪录的DDoS攻击而成为新闻焦点。其源代码泄露后，变种病毒持续传播多年。Emotet公司构建了一个由数百万台机器组成的僵尸网络，并将访问权限出售给勒索软件团伙。其运作模式很简单：被感染的设备价格低廉、数量众多且难以追踪。即使遭到打击，执法部门也会查封控制服务器并逮捕操作者。但僵尸网络往往会在几周内重新建立。防御措施主要在于日常维护：更改默认密码、修补固件、将物联网设备隔离在单独的网络中、监控异常出站流量。而那些你忽略的设备，往往正是攻击者的目标。

僵尸网络用途

• DDoS攻击——用大量流量淹没目标。
• 垃圾邮件——通过多个IP地址发送大量电子邮件
• 凭证填充攻击——大规模测试被盗登录信息
• 加密货币挖矿——利用受害者的 CPU 算力牟利

僵尸网络就像一支租来的军队。攻击者无需拥有这些士兵。