戰場：你的電腦
無硝煙的戰爭正在發生：約 1.5 億台電腦被劫持為「僵屍」，組成龐大殭屍網絡 (Botnet)，由 Rustock、Warezov 等黑客集團操控，發送垃圾郵件、發動 DDoS 攻擊、勒索賭博網站，獲利驚人 (單一賭博站 DDoS 勒索達 5 萬美元/天)。
殭屍牧人間的殘酷競爭
- 互搶資源：新感染 10 萬台需 1 週，從敵對網絡竊取僅需 1 小時，經濟帳顯而易見。
- 內建「防毒」保護地盤：SpamThru 竊取卡巴斯基代碼內建掃毒模組，清除競爭對手惡意碼，並回報感染統計。
- 主動攻擊敵對 C&C：Storm 蠕蟲除發垃圾郵件外，自動 DDoS 攻擊 Warezov 的 C&C 域名 (如
esunhuitionkdefunhsadwa.com)，癱瘓敵方指揮中樞。
- 漏洞利用鏈條化：Mydoom 開後門 → Doomjuice 接管 → 修補漏洞防他人再奪。修補速度甚至快於商業軟件廠商。
經濟動機驅動演進
- 服務化：殭屍網絡租賃 (垃圾郵件、DDoS、點擊欺詐) 形成黑色產業鏈。
- 品牌化：團伙競相證明自家網絡規模最大、火力最強，以吸引高價客戶。
- 勒索產業化：三名俄羅斯駭客因勒索英國賭博站被判 8 年，落網前盈利數百萬美元。
技術特徵演進
| 早期 (2004) | 現狀 |
|---|
| Bagle/Netsky/Mydoom 公開互鬥 | 目標集中、自動化、隱蔽化 |
| 影響廣泛、易被發現 | 專注競爭對手、影響範圍可控 |
| 手動操作為主 | 全自動化：感染→清除對手→修補漏洞→報告統計 |
防禦啟示
- 端點行為分析 (EDR)：特徵碼已失效，需偵測異常進程鏈、記憶體注入、C&C 通訊模式。
- 網絡流量基線：識別非業務時間大量外連、異常 DNS 查詢、快速通量域名 (Fast Flux)。
- 補丁管理自動化：縮小漏洞窗口期，減少被納入殭屍網絡機率。
- 威脅情報共享：訂閱 C&C IP/域名饋送，即時封鎖已知惡意基礎設施。
結語
殭屍網絡戰爭本質是資源爭奪戰。防禦者若仍停留在「查毒」層面，必將節節敗退。唯有轉向「行為偵測+威脅情報+自動化響應」的主動防禦體系，才能在這場無硝煙戰爭中守住陣地。