00 · 案例总览与口径说明
本案例库收录对Fast-flux/Domain-flux治理史有范式意义的公开事件，全部事实可溯源至学术会议论文、执法机构或厂商官方通报。规模数据一律标注原始口径；早期僵尸网络的规模估计在公开文献中分歧较大，本库仅引用有明确出处且被广泛接受的表述。
| 时间 | 事件/家族 | 流动性类型 | 关键数据（原始口径） | 结局 |
|---|---|---|---|---|
| 2007—2009 | Storm蠕虫网络 | single-flux | 规模估计公开分歧极大（数十万至上千万级受控主机均见报道）；2008年Holz测量时其基础设施为典型flux形态 | 2009年前后自然衰落 |
| 2008—2009 | Conficker | domain-flux（DGA） | C变种每日生成5万个候选域名、覆盖110余个TLD（Porris等SRI技术分析，2009） | Conficker Working Group协作遏制，未根除但失去规模效应 |
| 2009 | Torpig接管 | domain-flux（DGA） | 10天内逾120万独立IP连接sinkhole、约18.3万台独立感染主机、近70GB数据（Stone-Gross等，ACM CCS 2009） | 学术界接管10天后被迫让渡（法律限制） |
| 2010-02-22 | Waledac | double-flux | 法院命令切断277个域名（Microsoft，行动代号b49） | 瓦解（后续出现变体） |
| 2011-03-16 | Rustock | flux类解析 | 多国同步takedown（Microsoft，行动代号b107）；高峰期曾占全球垃圾邮件量约四成（当时多家厂商统计口径） | 瓦解 |
| 2008—2014 | ZeuS生态 | flux+代理层 | abuse.ch自2008年运营ZeuS Tracker公开追踪其C2基础设施（含flux域名） | 源码泄露后进入"ZeuS时代"长尾治理 |
| 2016-12 | Avalanche平台 | 平台化flux/BPH | 30国执法司法协作（FBI口径40国伙伴），超80万域名被扣押/沉洞/阻断（NCA口径83万），5人被捕（Europol/Eurojust通报） | 基础设施级重创（后续出现替代平台） |
| 2020—2023 | Dridex/TrickBot/QakBot | flux类C2持续演进 | TrickBot 2020年10月被多方联合破坏；QakBot 2023年8月被FBI"Operation Duck Hunt"瓦解 | 家族受创、手法延续 |
01 · Storm蠕虫（2007—2009）：Fast-flux的"成名之战"
背景：Storm（又称Nuwar、Peacomm等）是2007年最具代表性的垃圾邮件与钓鱼僵尸网络，其托管与跳转基础设施采用了当时新颖的single-flux模式——这是Fast-flux进入公众与学术视野的直接契机，也催生了Honeynet Project 2007年首份专项技术报告。
技术与治理要点：①攻击者通过P2P叠加flux获得双重韧性；②规模估计在公开报道中分歧极大（从数十万到上千万级受控主机），本库不接受任何单一数字作为定论；③Holz NDSS 2008的测量（任意时点约150个flux域名在线）首次给出"生态级"而非"单家族"的规模基线；④Storm于2009年前后迅速衰落——公开分析认为既有安全社区持续对抗的因素，也有黑产迁移至新家族的因素。
范式启示：flux把治理对抗从"封IP/封域名"升级为"生态测量+注册层处置"，这一框架至今仍是本课题的主线。
02 · Conficker（2008—2009）：Domain-flux与跨行业协作范式
背景：Conficker（Downadup/Kido）是史上传播最广的蠕虫之一（企业内网大规模感染的公开报道极多）。与本课题相关的是其C2寻址设计：A/B/C各变体每日由DGA生成候选域名——C变种达每日5万个、横跨110余个TLD（Porras、Saidi、Yegneswaran的SRI技术分析报告，2009），其中仅一小部分真正注册启用。
治理要点：Conficker Working Group（跨厂商、学术界、ICANN社群的志愿协作组织）采取的核心手段包括：对当日DGA候选域名进行预先注册/锁定（抢在攻击者之前）、全球DNS sinkhole部署、以及各大DNS/安全厂商的查询层过滤。
范式启示：①"预注册防御"证明了掌握DGA算法+注册层通道即可将domain-flux的可用性压至极低；②该事件确立了"协作组"模式，成为其后Avalanche等大型行动的协作原型；③对本课题：DGA与flux常组合出现，两子课题的方法必须联动（第4页§07）。
03 · Torpig接管（2009）：DGA域名接管的学术实验
背景：Torpig（绑定Mebroot rootkit）使用DGA生成每日候选域名。UC Santa Barbara研究团队在ACM CCS 2009论文《Your Botnet is My Botnet》中报告：通过逆向其算法并注册关键域名，对其实施了sinkhole接管。
关键数据（论文口径）：接管后10天内（2009年1月25日—2月4日），sinkhole收到逾120万个独立IP地址的连接、识别出约18.3万台独立感染主机（论文特别指出：以IP计数会将规模高估近一个数量级，DHCP/NAT效应显著），截获bot回传数据近70GB，其中含8,310组金融机构账户凭据（涉及410家机构）与1,660组独立银行卡数据——为当时对单个僵尸网络规模最大的测量之一。
局限与结局：2009年2月4日，Mebroot运营者向受控主机推送更新了DGA算法的新二进制，接管随之失效——这一结局同时包含技术对抗（算法更换）与法律边界（研究团队基于隐私与授权限制，始终未对bot下发任何新配置）两层含义。范式启示：技术上"接管可行"与法律上"可持续接管"之间存在明确边界——本课题处置章（第5页§04）将执法协作列为L4动作，正是对此教训的制度化回应。
04 · Waledac与Rustock（2010—2011）：法院命令+域名扣押的执法范式
Waledac（2010-02-22）：Microsoft以法院命令切断其277个.com域名的解析（行动代号b49），这是"以民事法律程序打击僵尸网络基础设施"的标志性案例。Waledac采用double-flux架构，其瓦解证明：当flux域名本身被批量剥夺时，代理层冗余无法挽救网络。
Rustock（2011-03-16）：Microsoft联合药企（其垃圾邮件以假药为主）与多国执法，以行动代号b107实施takedown。高峰期Rustock被多家安全厂商统计为全球垃圾邮件的主要源头（约四成占比见诸当时行业统计）。
范式启示：①flux网络的"阿喀琉斯之踵"在注册/解析层而非IP层——验证了Holz 2008的机理判断；②证据链质量（解析记录、流量样本、受害者影响面）是司法程序的前置条件，直接支撑本课题第5页证据包规范。
05 · ZeuS生态与ZeuS Tracker（2008—2014）：追踪器的产业价值
背景：ZeuS（Zbot）银行木马长期利用flux类域名与分层代理保护其C2。2008年，瑞士安全研究员在abuse.ch上发起ZeuS Tracker，持续公开其C2域名/IP并供防火墙与DNS层自动消费，成为早期最具影响力的社区威胁追踪器之一。
产业影响：2010—2011年间ZeuS源代码泄露引发变种爆发（包括与SpyEye的合并传闻阶段），同时也使flux基础设施的"家族化复用"公开可见。ZeuS Tracker于2019年7月8日停止运营，其模式由Feodo Tracker、URLhaus、ThreatFox延续至今（Dridex、Emotet、TrickBot、QakBot等家族的C2持续被跟踪）。
范式启示：高质量、可机读的追踪器Feed是本课题L0层（情报前置过滤）与领先量度量的公共底座；国内生态可通过工作组机制建设同等级别的flux追踪能力（第8页§07）。
06 · Avalanche（2016）：平台化flux的"总动员式"打击
背景：Avalanche是一个自2009年前后运营的网络犯罪"服务平台"，向全球多个犯罪团伙提供抗打击的解析与托管能力（平台化fast-flux/BPH的典型案例）。Europol/Eurojust于2016年12月通报：经30国执法与司法机构协作（FBI通报口径为40国合作伙伴），对其实施大规模takedown，超过80万个域名被扣押、沉洞或阻断（英国NCA口径为83万；据HKCERT转述的行动通报，Avalanche采用double fast-flux手法，DNS与IP记录约每5分钟更换一次），同时逮捕5名嫌疑人、扣押39台服务器。
技术与治理要点：①平台化意味着"一处基础设施、百个客户"——单点打击的收益被成倍放大；②行动成功依赖长达数年的证据积累与跨境司法协作；③此后公开研究观察到犯罪基础设施向新的平台迁移——flux能力的"供给端"并未消失。
范式启示：平台级flux的识别必须依赖图谱方法（域名—IP—NS—注册商四元关联聚类，第4页§5.1），个案处置无法触及平台本体。
07 · 当代演进（2020—2025）：家族化flux与"瓦解—再生"循环
公开事实：①TrickBot于2020年10月遭Microsoft牵头的大规模联合破坏（公开通报），但其部分功能模块与手法被其他家族吸收；②QakBot（Qbot）于2023年8月被FBI以"Operation Duck Hunt"瓦解（官方通报，同时从受控设备移除恶意软件）；③Dridex长期被abuse.ch Feodo Tracker持续跟踪其C2基础设施。
观察："瓦解—再生"循环表明：flux作为一种基础设施能力而非单一家族属性，会在不同家族间流转；防御侧的建设重点因此应放在"流动性检测能力"本身（本课题主线），而非追逐单一家族指标。
08 · 跨案例启示汇总
- 注册/解析层是唯一有效的打击面：Waledac（277域名）、Avalanche（83万域名）均证明"剥夺域名"比"封IP"高一个数量级的有效性；
- 掌握算法即掌握主动权：Conficker预注册与Torpig接管显示，DGA可预测性+注册通道=防御方可行的主动防御；
- 协作是规模化的前提：从Conficker Working Group到Avalanche 30国执法司法协作，无一例外；
- 证据链决定行动上限：Torpig接管仅维持10天（因算法更换失效）与后续司法化处置路径的对比，说明程序合规是能力的一部分；
- 追踪器是公共品：ZeuS Tracker→Feodo Tracker的谱系证明社区Feed的战略价值，呼应本课题第8页工具生态建设建议。
09 · 案例回溯：检测能力的"事后检验"
以下对照为基于公开描述的定性回溯（非对历史数据的实测复现），用于检验本课题特征体系对历史案例的解释力：
| 案例 | 公开形态 | 当年关键能力 | 本课题方法覆盖度（定性） |
|---|---|---|---|
| Storm | single-flux托管 | 分布式测量+黑名单 | churn率/AS熵/TTL画像可自动检出 |
| Conficker | DGA预注册对抗 | 算法逆向+注册通道协作 | 子课题03 DGA标签联动，NXDOMAIN特征 |
| Torpig | DGA域名接管 | sinkhole+算法预测 | DGA标签+流动性确认，领先量可直接度量 |
| Waledac | double-flux | 法院命令+注册商协作 | NS熵+注册侧信号定位唯一有效打击面 |
| Rustock | flux类解析 | 多国同步takedown | IP共享度聚类支撑规模化打击清单生成 |
| Avalanche | 平台化flux/BPH | 四年以上图谱式取证 | 四元关联图谱+团伙聚类，平台级归并 |
| 当代家族 | FaaS化flux | 追踪器+联合执法 | L0情报过滤+领先量SLO+注册商水位指标 |
注：回溯结论仅依据各案例已引公开文献的定性描述，不构成对历史网络的实测断言。
本节参考来源（第6页）
B. Stone-Gross et al. "Your Botnet is My Botnet: Analysis of a Botnet Takeover"（Torpig）. ACM CCS 2009：doi.org/10.1145/1653662.1653736。
P. Porras, H. Saidi, V. Yegneswaran. "An Analysis of Conficker's Logic and Rendezvous Points". SRI, 2009：sri.com。
Conficker Working Group（历史档案）：confickerworkinggroup.org。
Microsoft. Waledac takedown（Operation b49, 2010-02-22）官方公告存档：news.microsoft.com；Rustock takedown（Operation b107, 2011-03-16）官方公告。
Europol. Avalanche行动通报（2016-12）：europol.europa.eu；Eurojust同步通报。
ZeuS Tracker（abuse.ch，2008—2019）：历史档案；Feodo Tracker：feodotracker.abuse.ch。
Microsoft Digital Crimes Unit关于TrickBot破坏行动（2020-10）的公开通报；US DOJ/FBI关于QakBot瓦解（Operation Duck Hunt, 2023-08）的公开通报：justice.gov。
T. Holz et al. NDSS 2008：ndss-symposium.org——测量口径与"代理层"机理判断出处。