2025年，全球地缘局势复杂多变，网络空间的战略博弈同步持续升级，并驱动网络攻击武器库的迭代演进。僵尸网络作为网络攻击的核心基础设施，其技术范式、运营模式及攻击目标均呈现出深刻的战略性转变与前所未有的复杂性。攻击者深度整合新兴技术，采用体系化、精细化的运营策略，致力于构建更具韧性、隐蔽性与破坏性的威胁基础设施，对全球数字安全体系构成多层次、系统性的严峻威胁。
AI成为攻防双刃剑，“利用”与“针对”双重威胁凸显。僵尸网络开始规模化利用AI技术加速恶意代码构建与发起攻击，例如ShadowRay2.0攻击事件；同时，AI平台成为攻击新靶标，DeepSeek等AI服务提供商遭僵尸网络攻击的事件频发，印证了针对AI基础设施的威胁已落地。
代理型僵尸网络架构兴起，传统静态防御陷入被动。PolarEdge、ContainerBot（伏影实验室命名）等流量转发型僵尸网络快速崛起，通过动态流量中转大幅提升溯源难度，导致传统基于IOC的防御体系失效。
移动端威胁呈爆发式增长，Android平台成为犯罪核心前沿。Vo1d、Kimwolf等Android平台僵尸网络家族持续增长。攻击者聚焦Android设备的核心原因在于其市场占有率高、设备碎片化严重、部分低端设备安全更新滞后，且控制智能电视等Android大屏设备后，造成大规模广告推送来影响舆论等更深层次的危害。
感染目标呈现“定向化”与“场景化”深度融合特征，漏洞利用武器化效率空前提升。无差别广泛扫描逐步被精准打击取代，例如fnone僵尸网络家族（伏影实验室命名）对海康威视摄像头等特定品牌设备的定向攻击、DayzDDoS对美国军方及政府机构的绕过式扫描、PumaBot通过精准下发目标清单实施靶向感染；同时，漏洞利用效率显著提升，Nutsbot快速集成React2Shell漏洞，AISURU团伙通过伪造“官方更新”批量感染Totolink路由器等设备。
攻防对抗全面升级，“反检测”与“反追踪”能力成为僵尸网络标配。技术层面，Nutsbot通过跨端口通信规避追踪，IRC_Tor家族（伏影实验室命名）融合IRC协议与Tor网络、基于OpenNIC通信的家族数量增多，HpingBot借助合法工具发起DDoS攻击混淆溯源；架构层面，基础设施去中心化趋势明显，多款僵尸网络采用智能合约托管C&C服务器提升抗打击能力；此外，主机侧自保排他机制、DNS请求获取加密TXT记录等技术的应用，进一步强化了其隐蔽性。
攻击效能极致化，DDoS攻击呈现“智能化”与“可控化”新特征。HTTPBot发起的事务性DDoS攻击效能显著提升，“Poxiao”团伙内置多元反射放大型DDoS攻击方式，攻击手段更具多样性；超大规模攻
击成为常态，Tbps级DDoS攻击频发，攻击峰值记录持续被打破，对目标网络的可用性造成高破坏性打击。
攻击目标与目的地缘政治关联性增强，关键基础设施风险加剧。攻击者更倾向于选择与国际局势、AI等行业热点或社会抗议活动相关的目标以扩大影响或达成特定目的，DeepSeek等AI平台屡遭攻击；智能电视、路由器、摄像头等缺乏安全更新维护的IoT设备仍是主要感染目标，其被控制后不仅可能引发关键基础设施运行中断的风险，还可能将大屏设备用于舆论宣传，影响社会稳定。
运营模式持续演进，与高级威胁深度绑定。盈利模式从单一DDoS攻击转向多元化，AISURU、Kimwolf等新型僵尸网络将受控设备作为代理服务节点出售，为其他网络犯罪提供匿名通道，形成稳定收入来源；僵尸网络成为高级威胁攻击的“跳板”。APT或勒索团伙利用僵尸网络节点收集目标环境的情报信息，进而投递后续攻击组件，或者利用已获取的立足点分发邮件，充当代理，为后续攻击做准备。
僵尸网络的发展形态、技术路径与攻击目标正呈现多元演化态势，其中AI驱动攻击革新、代理型架构兴起、移动端威胁攀升三大新兴趋势尤为显著。与此同时，新兴僵尸网络还呈现出反追踪能力持续强化、攻击效能显著提升、传播与感染目标高度定向化等主流特征。
2026年僵尸网络的角色将从单纯的攻击工具，演变为融合了情报搜集、渗透控制、金融犯罪、地缘政治工具于一体的综合性网络威胁平台。威胁全面升级，将朝着“持久化、隐蔽化、智能化和武器化”的方向演进。AI攻防螺旋加速；“基础设施化”与隐匿性革命；“移动端威胁成为“超级入口”；DDoS攻击的“服务化”与“场景定制化”；地缘政治网络行动的“掩护”与“杠杆”。
