僵尸网络是一组可被攻击者协调控制的设备，通常经过入侵。感染的电脑、路由器或联网设备可能成为“机器人”，在主人不知情时执行命令，用于垃圾信息或分布式拒绝服务攻击等。Europol 说明了感染、远程控制和滥用之间的关系。［1］

“我的设备是否在其中”需要证据，不靠测速下结论。本文属于数字隐私基础框架，分开介绍调查、隔离和恢复。设备帮助攻击他人，与你的连接遭大量入站流量压垮，是不同问题。

关键要点

僵尸网络涉及多个设备受控，异常流量本身不能证明控制关系。

电脑、路由器和物联网设备需要不同检查与恢复方法。

隔离可疑设备可以减小危害，但关键设备不能随意断开。

重置、更新和账号恢复是独立任务，需要分别确认。

设备如何加入僵尸网络？

僵尸网络检测需要控制或感染证据；僵尸网络感染恢复应针对实际受影响设备。

攻击者先需要进入设备，路径可能是恶意软件、暴露的管理入口、弱凭据或未修补漏洞。入侵产生能力，控制机制让命令到达设备。主人不一定看到名叫“僵尸网络”的程序。

控制设计不同，有的依靠中心基础设施，有的通过节点分散通信或更换地址。家庭用户不能认为封锁一个可疑地址就清除了感染；联系暂时中断，也不等于重新获得控制。

Cloudflare 解释受控节点如何共同向目标发送流量。［2］DDoS 是用途之一，不是完整定义。设备可能从事其他不必要活动；单个恶意软件检测也不能自动证明参与协调网络，结论要紧贴证据。

恶意代码概览解释感染，键盘记录器描述输入记录，僵尸网络描述控制和协调。有的感染两者兼具，但不能默认每个节点偷走全部密码，或每个记录器都接收僵尸网络命令。

哪些迹象有用，哪些容易误判？

可信安全检测、运营商将滥用事件关联到你的连接，或无法解释的配置变更，都值得核查。保存检测名、时间、设备标识和原通知。通过已知官方账号入口或客服电话核实运营商警告，不点击消息里的付费或下载链接。

流量多、过热、变慢和陌生进程也可能来自更新、备份、视频或故障。出站连接可能属于正常程序，这些观察能缩小调查，却不能单独识别僵尸网络；安静的设备也可能失守。

信号	合理解释	不应推断
核实的恶意软件检测	需要修复的安全发现	每个账号确定被盗
运营商滥用通知	与连接关联的流量需要调查	已证明某台设备负责
意外路由器配置	访问或设置可能变化	路由器必定被僵尸网络控制
高上传流量	应找来源和预期任务	上传量本身证明感染
扫描干净或速度正常	某项有限检查没发现问题	全部联网设备都安全

公共 IP 可被家庭多个设备共享，有的网络安排也让多个客户共享。地址与时间能定位事件，却不能直接指出感染机器。向运营商询问观察到的事实，与自身设备比较，不公开分享私人日志。

怀疑后先做什么？

安全允许时停止敏感工作，将可疑设备与网络隔离，并保存有用记录。普通笔记本断网不同于医疗、警报或关键工作设备断开；后者先联系所有者或负责专家，避免造成另一类危害。

用可信设备恢复账号和沟通。若凭据可能暴露，保护主要邮箱、更换相关密码、检查会话及关联应用。隔离不会撤销此前复制的令牌，不在可疑设备登录重要账号来测试“还能不能用”。

记录隔离哪台设备及时间。滥用仍继续时，应调查其他设备，而非直接认定第一台无辜或全家都感染。隔离改变流量，不能完成诊断。保留简单设备和所有者清单，便于协调。

单位设备向安全团队报告，不在团队评估证据前删除检测、清日志或重装。个人设备可由可信厂商支持帮助选择修复或干净重建。处理已核实感染不需要试探攻击者基础设施。

不同设备怎样恢复？

电脑

使用官方来源的受支持安全工具，按核实检测的指引操作。检查近期安装和不必要访问，更新系统及应用。变更不明、感染返回或管理员控制失守时，与合格人员讨论干净重装。

谨慎备份必要文件，恢复全部应用与设置可能带回问题。回到正常使用前核对更新和受支持检查；继续独立检查账号，因为重建机器不能收回已经被获取的信息。

路由器

通过厂商支持界面检查型号、固件、管理员凭据、远程管理及意外配置。管理员密码与 Wi-Fi 密码不同，改一个不必然改另一个。运营商拥有的路由器，在重置或刷固件前先联系运营商。

恢复出厂可能清配置，却返回弱默认值，也不必然更新固件。按官方次序恢复、更新、设置独立管理员密码，只恢复理解的设置。没有必要且受支持的理由，不重新暴露远程管理。厂商无法提供可靠恢复或安全更新时，替换不受支持设备。

摄像头和其他物联网设备

核对支持状态、更新方式、账号控制及重置说明。没有桌面式扫描器不代表安全或无法恢复，可用选择可能是更新、重置、替换或厂商协助。减少无必要远程访问和账号共享。

不受支持或反复失守时，停止使用可能比不断重置可靠。按所有者需求保留安全功能和必要录像，同时检查重置后配套应用及云账号还能访问什么。

是设备参与 DDoS，还是你受到 DDoS？

僵尸节点向他人服务发送攻击流量；受害者收到试图耗尽资源的流量。二者都能导致连接故障，但恢复受控设备处理攻击来源，运营商或服务端缓解处理入站洪流。后者参见DDoS 应对指南。

更换公共 IP 不会清理感染的电脑或路由器，恶意程序可从新地址重新连接。入站攻击也不证明自己的设备是僵尸节点，选措施前先问流量方向和证据。

其他伤害也要区分：人肉搜索处理公开曝光和威胁，零日漏洞介绍可能入侵路径，Pegasus涉及定向监控。“网络好像有问题”不能区分这些事件。

怎样判断恢复是否足够？

核对具体结果：设备完成支持的恢复流程，系统或固件已更新，不必要管理访问已撤销，必要凭据已更换，相关活动已审查。询问运营商是否停止报告的滥用，但没收到新通知不证明完整恢复。

观察合理一段正常运行，保持基线易理解。正常备份和更新可解释看似异常的流量。核实检测或配置变更再次出现时升级求助，不无止境重复同样重置。记录未知事项及仍需关注的设备或账号。

预防持续进行：更新、独立设备凭据、减少暴露服务和清楚的设备清单。检查不用的设备、移除多余账号和远程访问，避免事件发生时在压力下重建清单。

总结

寻找入侵和控制证据，不靠速度诊断。
安全隔离，用可信设备保护账号。
电脑、路由器和物联网各走受支持恢复路径。
分开出站滥用与入站 DDoS，逐项验证恢复。

常见问题

路由器也能成为僵尸网络成员吗？

能，路由器和其他联网设备可被入侵控制，其更新和恢复方式不同于桌面杀毒扫描，需按厂商流程处理。

网速慢能证明感染吗？

不能，拥堵、更新、备份、故障和入站攻击都可能相似。应找出流量来源并获得具体安全证据。

一台感染会影响全家设备吗？

可能占用共享带宽或威胁可访问服务，但不证明所有设备感染，应逐台检查而非统一下结论。

恢复出厂一定够吗？

不一定，还可能要更新固件、换凭据、恢复账号或替换停止支持的设备，应遵循完整厂商指引。

应该封锁一个可疑 IP 吗？

在受支持方案中可能暂时帮助隔离，但控制地址变化会绕过单一封锁，它不清除底层失守。

断开设备会保护被盗账号吗？

不会，之前复制的凭据和会话可能在其他位置可用，需要从可信设备另行检查并撤销访问。

工作设备应立即擦除吗？

先向负责团队报告，擦除可能破坏证据和管理恢复，即使最终需要清除感染，也要按组织流程进行。

**免责声明：**本文是一般恢复指导，不是取证认定。遵守设备所有权和安全要求；调整关键或受管理系统前，请取得合格专业帮助。

来源:

Europol - Botnet infographic — https://www.europol.europa.eu/cms/sites/default/files/documents/europol_infographic_-_botnet_0.pdf
Cloudflare - What is a DDoS botnet? — https://www.cloudflare.com/learning/ddos/what-is-a-ddos-botnet/

Sources checked 2026 年 10 月 5 日。

延伸阅读:

什么是僵尸网络？如何判断设备是否受控并选择正确恢复路径