殭屍網路（Botnet）是由大量遭入侵裝置組成的惡意網路。這些裝置可能是電腦、手機、伺服器、路由器、監視器、DVR、NAS，或其他物聯網設備。使用者通常不會立刻察覺裝置已被感染，但攻擊者可以遠端下達指令，讓這些「殭屍裝置」一起執行攻擊、寄送垃圾郵件、竊取資料，甚至成為下一波攻擊的跳板。
對企業來說，殭屍網路不只是資安名詞，而是會直接影響網站穩定、雲端服務、品牌信任與營運可用性的實際風險。尤其當企業越來越依賴網站、API、雲端主機與連網設備時，只要其中一個環節缺乏管理，就可能讓攻擊者有機會利用。
殭屍網路是什麼？
Botnet 由 bot 與 network 組成，意思是被自動化程式控制的裝置網路。這些遭感染的裝置會被攻擊者遠端操控，表面上仍可正常使用，但背後可能正在執行惡意任務。
操控殭屍網路的人常被稱為 bot herder，會透過指揮與控制伺服器（Command and Control，簡稱 C2 或 C&C）管理受感染裝置。當攻擊者下達指令後，分散在不同地區、不同網路環境中的殭屍裝置，就可能同時執行特定行動。
殭屍網路的危險在於規模。當被控制的裝置數量越多，攻擊者可動用的頻寬、運算能力與 IP 來源也越多。這使得攻擊流量看起來像來自全球各地的正常連線，增加偵測與阻擋的難度，也讓單一防火牆或傳統防護設備更難完全應對。
殭屍網路如何形成與運作？
殭屍網路（Botnet）並非一夕組成，而是黑客透過自動化工具，經歷「大規模感染」到「集中掌控」的成果。其生命週期主要分為形成與運作兩個核心階段。
1. 殭屍網路形成
殭屍網路的建立，是攻擊者透過自動化工具在網路上進行大規模掃描、漏洞利用與惡意程式散播，逐步累積受感染裝置的過程。其主要入侵與成軍的途徑包括：
- 物聯網（IoT）設備漏洞： 諸如網路監視器、路由器、DVR 及智慧家居設備，因數量龐大且分散，許多設備出廠後仍使用預設帳密，或長期未更新韌體，成為攻擊者最容易得手的目標。
- 企業曝險資產漏洞： 企業環境中未限制登入來源的雲端主機、測試機、老舊系統或容器服務，若存在已知安全性漏洞或使用弱密碼，極易被植入惡意程式。
- 社交工程與惡意散播： 攻擊者利用釣魚郵件、惡意附件、釣魚連結，或誘騙使用者下載不明來源的 App，將惡意程式悄悄植入一般使用者的個人電腦或手機中。
2. 殭屍網路發動攻擊
一旦裝置遭到感染，就會被納入攻擊者可控制的傀儡網路中。此時，它的角色會轉變為聽從指揮的「殭屍（Bot）」，並以下列模式開始運作：
- 建立指令接收管道： 受感染裝置會主動連回攻擊者架設的命令與控制（C2）伺服器等待指令。為了降低單一 C2 伺服器被安全機關關閉的風險，現代殭屍網路常採用 P2P（點對點）架構，讓裝置之間彼此傳遞指令。
- 執行集中式惡意攻擊： 接收到攻擊者指令後，成千上萬的裝置會同時執行特定任務。最常見的是集體連向特定網站發動 DDoS 攻擊以癱瘓目標，或是利用其運算能力集體挖掘加密貨幣。
- 作為跳板與擴張基地： 這些裝置還會被用來寄送大量垃圾郵件、代理轉發非法流量，甚至在背景繼續掃描網路上的其他新弱點，以協助殭屍網路進一步擴張。
殭屍網路 4 大常見攻擊類型
殭屍網路之所以成為網路犯罪者的最愛，關鍵在於它「化整為零、集體行動」的特性。攻擊者可以隱身幕後，操控成千上萬個看似正常的合法 IP，對目標發動以下幾種難以防範的多維度攻擊：
1. DDoS 攻擊（分散式阻斷服務）
這是殭屍網路最經典也最具破壞力的用途。攻擊者會指揮全球海量的受害裝置，在同一時間向目標網站、API 接口、DNS 伺服器或網路基礎設施發送排山倒海的存取請求。這種瞬間爆發的流量會迅速榨乾目標的網路頻寬、記憶體與處理器資源。
當伺服器因超出負荷而無法正常回應時，就會導致正常的服務全面中斷、線上交易失敗、客服管道被癱瘓，並為企業帶來直接的營收損失與商譽傷害。
2. 憑證填充與暴力破解
攻擊者會利用先前從其他管道外洩的巨量帳號密碼組合，透過殭屍網路中大量不同的受害 IP，自動化且持續地嘗試登入各大企業的網站或 App 服務。這種做法的核心優勢在於「分散來源」，由於每次登入嘗試都來自不同的地理位置與設備，能夠完美繞過企業傳統針對「單一 IP 登入失敗次數過多」的封鎖機制，大幅提高盜取用戶帳號、竊取個資或盜刷點數的成功率。
3. 資安詐欺與惡意活動
殭屍網路擁有龐大的節點網路，極適合作為各類網絡欺詐的發動基地。攻擊者可以利用這些受控制的裝置發送海量的垃圾郵件與精準的釣魚連結，誘騙更多無辜民眾受害。此外，這類網路也常用於「廣告點擊詐欺（Click Fraud）」，藉由模擬真實用戶的點擊行為來騙取高額的廣告分潤，或是直接利用裝置的權限，暗中竊取受害設備內儲存的瀏覽器 Cookie、信用卡號及敏感業務資料。
4. 惡意加密貨幣挖礦
當黑客不打算發動高調的攻擊時，他們常選擇讓殭屍網路在背景默默「賺錢」。攻擊者會將挖礦程式植入受害裝置中，未經允許便擅自集體調用這些裝置的 CPU 與 GPU 算力，沒日沒夜地為黑客開採門羅幣等加密貨幣。
這種行為雖然不會立刻癱瘓系統，但會導致受害裝置的效能顯著下降、耗電量暴增、硬體壽命大幅縮短，並對企業的電費與 IT 維護成本造成隱形蠶食。
如何判斷裝置可能已被殭屍網路感染？
殭屍網路感染不一定會讓裝置立即故障，因此使用者常常不容易察覺。不過，若裝置突然變慢、網路流量異常增加、CPU 或記憶體長時間偏高，或出現不明外連行為，就可能需要進一步檢查。
企業可以從防火牆紀錄、DNS 查詢紀錄、主機日誌與流量監控中觀察異常跡象。例如某台主機頻繁連向陌生網域、在非工作時間大量對外傳輸資料，或連續掃描其他 IP，都可能代表裝置已被惡意程式控制。
若企業已有 SIEM、EDR、NDR 或雲端監控工具，也可以透過關聯分析找出可疑行為。重點不只是發現單一異常事件，而是把登入紀錄、流量變化、端點活動與雲端資源使用狀況整合起來，判斷是否出現持續性風險。
企業如何預防殭屍網路風險？
面對殭屍網路無孔不入的感染手段與鋪天蓋地的流量攻擊，企業不能只靠單一防線。最有效的預防策略是採取縱深防禦，從資產清查、主動防禦到流量監控，全面圍堵黑客的入侵管道。
1. 資產全面盤點與存取權限控管
企業防禦的第一步，是搞清楚自己有哪些曝險資產。如果無法掌握所有的連網設備、雲端主機與對外服務，就無法進行有效防護。因此，企業必須定期進行自動化資產盤點，確認是否有被遺忘的測試機或老舊系統暴露在外。
在存取控制上，應全面汰換所有設備的出廠預設密碼，強制執行強密碼策略與多因素驗證（MFA）。同時，應嚴格關閉不必要的網路連接埠與遠端管理介面，僅允許受信任的 IP 進行遠端運維。
2. 系統防禦深化與定期補丁更新
許多物聯網設備與伺服器之所以淪為殭屍傀儡，主因是長期未修補已知漏洞。企業應建立自動化的漏洞掃描與補丁管理機制，定期更新作業系統、應用程式與設備韌體，不給黑客利用漏洞入侵的機會。此外，在所有端點設備上應佈署新世代防毒軟體（EDR），並在網路邊界架設防火牆與入侵偵測系統（IDS/IPS），在惡意程式意圖植入的當下就進行攔截與隔離。
3. 網路流量監控與 DDoS 聯防機制
當裝置不幸遭感染，它必須連回 C2 伺服器才能接收指令。當企業被鎖定為目標，則會湧入海量異常流量。因此，企業應部署深度流量分析工具，持續監控異常的 DNS 查詢、大量且頻繁的外連行為，以及不正常的連續登入嘗試。
若企業業務高度依賴網站或 API 服務，應預先規劃部署 DDoS 防護服務、網站應用程式防火牆（WAF）與內容傳遞網路（CDN），並將日誌集中管理（SIEM），以利在攻擊發生的第一時間啟動事件回應流程，將營運衝擊降到最低。
4. 員工資安意識培訓與郵件防護
釣魚郵件、惡意附件與不明下載連結，依然是黑客將企業內部個人電腦與手機變成殭屍裝置的最主要途徑。企業除了應在閘道端部署嚴格的郵件過濾與社交工程防護系統外，更應定期對員工進行資安意識教育訓練。透過提升員工辨識惡意威脅的能力，搭配嚴格的最小權限管控，能有效降低員工因誤點連結而導致內部裝置集體感染的機率。
殭屍網路常見問答一次看
了解殭屍網路的攻擊手法與企業如何防禦後，你可能會想：「這些威脅離我很遠嗎？」或是「我的裝置會不會早就中標了？」針對大家在日常生活中最常產生的疑惑，以下為你快速解答。
Q1：如果設備被當作攻擊跳板，我需要承擔法律責任嗎？
在刑事層面上，由於你屬於不知情且系統遭入侵的「被害人」，通常缺乏犯罪故意而免責。然而在民事層面上，如果你長期不更新系統、刻意關閉安全防護，或是堅持使用已被警告的弱密碼，導致設備輕易被黑客控管並造成他人重大的經濟損失，被害者仍有可能以「未盡善良管理人安全義務」為由，向你提出民事上的過失損害賠償訴訟。
Q2：手機和 Mac 電腦比較安全，也會變成殭屍網路嗎？
是的，網路上沒有任何作業系統能完全免疫。雖然過去的殭屍網路多以 Windows 或 Linux 系統為主，但隨著行動裝置普及，黑客早已開發出針對 Android 與 iOS 系統的惡意程式，常透過偽裝的 App、釣魚簡訊或瀏覽器漏洞進行感染。而 Mac 電腦近年也隨著市佔率提高，成為黑客鎖定的熱門目標，只要設備具備網路連線與運算能力，都有可能淪為傀儡。
Q3：當我把受感染的裝置關機或斷網，殭屍網路就會瓦解嗎？
這只能讓你的裝置暫時停止參與攻擊，對瓦解整個殭屍網路毫無幫助。因為殭屍網路是由分散在全球成千上萬、甚至數百萬台裝置所組成，少數節點離線完全不影響大局。更重要的是，躲藏在你裝置內的惡意程式並未被清除，一旦你重新開機或連上網路，它就會自動重啟並再次向黑客的控制中心報到，必須透過徹底掃毒或重灌系統才能根除。
Q4：家用 Wi-Fi 路由器如果變成殭屍，會危害到連接它的手機或電腦嗎？
威脅非常大，因為路由器是家裡所有網路流量的總閘門。一旦路由器被黑客控制，黑客不僅能利用它的頻寬對外發動攻擊，還能發動「中間人攻擊」，暗中篡改路由器的 DNS 設定。這意味著當你用家裡的手機或電腦上網時，即使輸入正確的網址，也可能被悄悄引導至黑客精心設計的假銀行或假電商網站，進而流出極為敏感的帳號密碼與信用卡資料。
殭屍網路防護要從可視性開始
殭屍網路的危險在於它把分散的受害裝置變成可被集中操控的攻擊資源。企業若能掌握資產狀態、修補漏洞、強化帳號安全、監控流量並建立雲端資安防護，就能降低被感染或成為攻擊目標的風險。
面對殭屍網路，企業不應只依賴單一工具，而是要從架構、設備、帳號、流量與事件回應多個面向建立防線。越早提升可視性，就越能在攻擊擴大前發現異常並採取行動。
若你正在規劃雲端架構、網站防護或資安維運，歡迎諮詢 2ECloud 尚贏科技，由專業雲服務及資安整合方案團隊協助你建立更穩健的雲端與網路安全防護架構。
【延伸閱讀】
