01 · 演化总览：三个时代
僵尸网络的演化史可划分为三个时代，每个时代都对应攻击经济学与技术栈的根本性变化：
- PC时代（约2003—2014）：以Windows木马为核心，依赖钓鱼邮件与漏洞利用感染，主打垃圾邮件（Waledac、Rustock、Grum、Cutwail）、DDoS（早期IRC Botnet）与金融犯罪（Zeus系）。这一时代确立了"接管C2基础设施＋司法追责"的治理范式（第05节）。
- IoT时代（约2014至今）：Gafgyt（2014）与Mirai（2016）开启设备僵尸网络时代——默认口令与固件漏洞成为招募入口，设备海量、补丁缺失、用户无感知，使感染规模呈数量级增长；Hajime、Mozi引入P2P架构提升韧性；Mēris（2021）展示"老旧漏洞未修复设备"的持久威胁。
- 代理化与服务化时代（约2017至今）：被控设备的价值从"攻击武器"扩展为"网络资源"（住宅IP代理、载荷投递通道）。Emotet、Qakbot、TrickBot等家族向"恶意基础设施服务商"转型，僵尸网络之间形成分工生态，治理对象从"单个家族"变为"黑色产业链"。
标志性家族感染规模估计（公开披露口径，仅供量级参考）
不同来源统计方法与时间点不同，数值不可横向精确比较
来源：Conficker Working Group及厂商公开估计（2009年前后）、多家安全厂商对Storm的公开分析（2007—2008）、Symantec对Hajime的公开分析（2017）、USENIX Security 2017论文《Understanding the Mirai Botnet》及各厂商对Mirai感染规模的估计、2014—2015年对Gafgyt的公开研究。僵尸网络真实规模难以精确测量，所有数字均应视为量级参考。
02 · PC时代标志性家族
| 家族 | 活跃期 | 特征与结局（均可公开查证） |
|---|---|---|
| Storm | 2007—2008 | 约200万例感染规模估计，Fast-Flux技术的大规模使用者，主攻垃圾邮件与DDoS租用；2008年后因治理压力与行业合作瓦解而衰落，是P2P技术进入主流僵尸网络的标志性样本 |
| Conficker | 2008至今（残余） | 利用Windows漏洞（MS08-067等）与口令策略缺陷传播，估计感染超700万台；引入DGA（.A版每日约250个候选域名，.C版升至每日数万量级）提升C2存活能力；催生Conficker Working Group多国联合治理机制，残余感染至今可见于威胁报告 |
| Waledac | 2008—2010 | 垃圾邮件僵尸网络（与Storm有代码关联）；2010年2月微软联合业界经法院命令接管其域名，实现瓦解——开创"法院命令+域名接管"执法范式 |
| Rustock | 2006—2011 | 曾贡献全球相当比例垃圾邮件；2011年3月微软主导打击摧毁C2（Operation b107）并查封服务器 |
| Kelihos | 2010—2017 | 多次被sinkhole与打击（2011年起多轮行动）；2017年4月运营者Pyotr Levashov在西班牙被捕并被美国司法部起诉，家族瓦解 |
| Grum | 2008—2012 | 当时最大垃圾邮件僵尸网络之一；2012年7月由FireEye、Spamhaus等协作关停其核心C2 |
| Cutwail/Pushdo | 2007—2010年代 | 垃圾邮件与载荷投递基础设施，长期多轮治理与运营商协作限速削弱其规模 |
| GameOver Zeus（GOZ） | 2011—2014 | Zeus银行木马家族的P2P变体，兼具DDoS与金融犯罪能力；2014年5—6月FBI主导多国"Operation Tovar"联合打击：sinkhole接管P2P网络、解密其DGA域名体系，同步瓦解其搭载的CryptoLocker勒索组件；运营者Evgeniy Bogachev被起诉并列入FBI通缉名单（悬赏300万美元）——至今仍是"P2P僵尸网络可治理性"的关键判例 |
03 · IoT时代家族图谱
| 家族 | 出现时间 | 技术特征与治理现状 |
|---|---|---|
| Aidra | 2012—2013 | 早期Linux路由器/DVR恶意软件，以DDoS为主要功能；其源代码泄露成为后续多个IoT家族的共同起点之一 |
| Gafgyt/BASHLITE | 2014 | 首个大规模IoT僵尸网络（感染估计达数十万），Telnet爆破招募；衍生LizardStresser等Booter工具；至今仍有活跃变种 |
| Mirai | 2016 | 本章核心样本：62组默认口令Telnet爆破、清晰流水线架构（见第2页）；2016年9月30日源代码公开后衍生数百变种（Satori、Okiru、Masuta等）；三名作者2018年被美国法院判处五年缓刑并承担罚金/赔偿。变种生态至今活跃 |
| Hajime | 2016 | P2P架构（自研类uTP协议），自称"白色蠕虫"以修复名义抢占Mirai感染；峰值约30万设备（Symantec估计）；作者自称"Nexus"，真实动机存疑 |
| BrickerBot | 2017 | 以损毁设备（写乱闪存使其变砖）为"防护"手段的激进样本，引发"主动反击的伦理与法律边界"行业讨论 |
| Satori | 2017 | Mirai变种中技术演进最快的一支，从默认口令转向漏洞利用（如CVE-2017-17215华为HG532路由器漏洞），感染速度创纪录 |
| Hide and Seek | 2018 | Bitdefender披露的首批自研P2P协议IoT僵尸网络之一，具备模块扩展能力 |
| Torii | 2018 | Avast披露的高复杂度IoT僵尸网络，支持多架构、隐蔽持久化，显示IoT家族工程化水平提升 |
| Mozi | 2019 | 360 Netlab披露；滥用BitTorrent Mainline DHT组网，国内设备为主要目标之一；源代码曾公开于GitHub；其节点列表对研究者开放观测，是中文语境下最重要的P2P IoT僵尸网络样本 |
| Mēris | 2021 | 名称由Qrator Labs提出（拉脱维亚语"瘟疫"）；招募已打补丁但未及时更新或口令脆弱的MikroTik路由器（CVE-2018-14847，补丁2018年已发布）；以HTTP管线化技术发起创纪录应用层DDoS：Cloudflare披露2021年7月约1720万rps，Qrator披露2021年9月对Yandex攻击约2180万rps，2022年纪录继续攀升（Cloudflare披露HTTPS DDoS约2600万rps）。治理难点在于老旧设备存量庞大 |
Mēris案例的治理启示：Mēris的设备全部来自2018年已修复的漏洞，2021年仍造成创纪录攻击——这揭示了IoT治理的核心悖论：补丁发布≠漏洞关闭。设备无人维护、用户无感知、厂商无触达通道，使"安全支持期"成为僵尸网络存续时间的决定变量。这与子课题01的EOL设备处置策略直接呼应，也支撑第8页"治理重心前移"的路线设计。
04 · 载荷型家族与服务化趋势
| 家族 | 出现时间 | 定位与关键事件 |
|---|---|---|
| Zeus系 | 2007 | 银行木马时代的开创者，源代码泄露后衍生数百变种（Citadel、SpyEye融合等），其技术遗产影响至今 |
| Qakbot/Qbot | 约2008 | 银行木马出身，后演变为具备载荷投递能力的僵尸网络；2023年8月FBI主导Operation Duck Hunt将其瓦解，司法部通报清理受感染计算机超70万台并查获相关资产 |
| Emotet | 2014 | 从银行木马转型为全球最大"载荷投递服务商"，长期为勒索软件团伙提供初始感染通道（恶意邮件宏文档为主要入口）；2021年1月遭欧洲刑警组织协调的跨国联合打击（荷兰、德国、美国、英国、法国、立陶宛、加拿大参与），C2被接管后执法机构向受控设备推送卸载模块；2021年底被多家机构报告"复活"——被视为原TrickBot团伙重建，印证"基础设施型家族"的顽强生命力 |
| TrickBot | 2016 | 银行木马→载荷投递平台；2020年10月微软联合安全厂商与电信运营商以法院命令方式瘫痪其大部分基础设施（防范其干扰美国大选）；此后部分残余与Emotet重建活动关联 |
趋势研判：载荷型家族呈现"APT化"特征——多层代理前置、模块化插件、租用合法云服务、与勒索软件团伙按感染台数分账。治理此类家族的关键不在"杀毒"而在切断其下游分发生意：一旦勒索团伙失去初始感染渠道，僵尸网络自身的变现效率骤降。这一逻辑直接支撑第8页"全链条打击"的治理路线设计。
05 · 治理打击与"摧毁—重建"循环
| 时间 | 行动 | 方式与效果 |
|---|---|---|
| 2010.2 | Waledac瓦解（微软主导） | 法院命令+域名接管，数日切断C2，确立"司法协同+域名治理"范式 |
| 2014.6 | Operation Tovar（GOZ） | FBI+多国联合：sinkhole接管P2P网络、合作解密DGA、同步打击CryptoLocker；确立"P2P亦可治"判例 |
| 2016.12 | Avalanche网络摧毁（欧洲刑警组织） | 30余国参与，先sinkhole后同步抓捕；四年持续治理打掉后续变种的超大规模反垃圾邮件/钓鱼基础设施 |
| 2017—2018 | Mirai作者司法追责 | 三人认罪（2017年12月），判处五年缓刑并承担罚金/赔偿（2018年9月）；对"IoT僵尸网络运营"形成司法威慑 |
| 2021.1 | Emotet跨国打击 | 七国联合接管C2并推送卸载模块；但2021年底复活，显示纯技术瓦解的局限 |
| 2020.10 | TrickBot瘫痪行动（微软主导） | 法院命令+多方技术协作，选举前拆除其大部分C2；残余能力数月后逐步恢复 |
| 2022.12 | Operation PowerOFF | FBI、欧洲刑警组织等联合，关停48个Booter平台域名并逮捕嫌疑人——直接打击DDoS需求侧市场 |
| 2023.8 | Operation Duck Hunt（Qakbot） | FBI主导多国协作，接管C2并下发卸载指令，司法部通报清理超70万台受感染计算机 |
循环规律：综合各案例可归纳出"摧毁—重建—演化"循环的三个特征：①基础设施可复制——代码开源（Mirai）、云服务重建成本低，技术瓦解的半衰期以月计；②人力资本可迁移——运营者转移阵地即可重启业务（Emotet案例）；③治理边际效用在需求侧——打击Booter平台（PowerOFF）与勒索分账链比单纯打瘫C2更能压缩黑产生存空间。这为第8页"技术+司法+市场"三位一体治理路线提供了实证基础。
06 · 标志性家族对照总表
| 家族 | 年代 | 主平台 | 架构 | 招募方式 | 主要功能 | 现状 |
|---|---|---|---|---|---|---|
| Storm | 2007 | Windows | P2P（Kademlia变种） | 钓鱼邮件 | 垃圾邮件、DDoS | 衰落瓦解 |
| Conficker | 2008 | Windows | 集中+混合（DGA/HTTP注入） | MS08-067漏洞、口令 | 载荷投递、更新通道 | 残余感染持续可见 |
| Waledac | 2008 | Windows | P2P+集中（混合） | 邮件 | 垃圾邮件 | 2010年瓦解 |
| GameOver Zeus | 2011 | Windows | P2P | 邮件、下载者 | 银行木马、DDoS、勒索 | 2014年打击后瓦解 |
| Gafgyt | 2014 | IoT（Linux） | 集中式 | Telnet爆破 | DDoS | 变种持续活跃 |
| Emotet | 2014 | Windows | 集中+多层代理 | 恶意邮件宏 | 载荷投递服务 | 2021打击后复活、持续活跃 |
| Mirai | 2016 | IoT | 集中式 | Telnet默认口令 | DDoS、代理 | 源码公开、变种生态活跃 |
| Hajime | 2016 | IoT | P2P（自研） | 口令爆破（对标Mirai） | 未知（自称善意） | 规模收缩、残余可见 |
| Mozi | 2019 | IoT | P2P（Mainline DHT） | 口令爆破+漏洞 | DDoS、代理 | 持续活跃（国内重点目标） |
| Qakbot | 约2008 | Windows | 集中+多层代理 | 邮件、漏洞利用 | 银行木马、载荷投递 | 2023年打击后重组传闻不断 |
| Mēris | 2021 | IoT（路由器） | 集中式 | CVE-2018-14847+弱口令 | HTTP应用层DDoS | 持续活跃、纪录屡创新高 |
注：本表"现状"为公开披露信息截至2025年前后的综述性描述，家族活动具有时效性；具体处置与监测数据以CNCERT、CISA等机构的最新通报为准。