Spamhaus 2026 上半年僵尸网络威胁更新：C&C 数量同比下降 30%，Sliver 首次超越 Cobalt Strike

一、核心数据

二、报告要点解读

2.1 C&C 总量下降但威胁不减

C&C 总数量同比下降 30% 至 14,952 台，这一下降趋势并非单纯的"威胁消退"。Spamhaus 指出，一方面网络运营商与执法机构加大了对僵尸网络基础设施的打击力度（如 Operation Endgame 行动、CrazyRDP 提权服务商的物理拆除），另一方面攻击者也在迁移策略——从 IP 集中托管转向地理分散的 C2 拓扑，以及加大域名层滥用。这意味着 IP 层面的 C&C 数量下降并不等于僵尸网络活动的实际减少。

2.2 Sliver 首次超越 Cobalt Strike

在框架层面，开源跨平台 C2 框架 Sliver 活跃度暴涨 58%，首次取代 Cobalt Strike 成为最活跃的 C2 框架。这一变化值得关注：Sliver 由 BishopFox 以红队测试工具发布，其开源特性使攻击者能够定制化编译、支持 DNS/SMB/HTTPS 等多种通信协议，且不像 Cobalt Strike 有严格的许可证追踪，被滥用的门槛更低。

2.3 域名滥用：.cn 暴涨 771%，印度 PDR 激增 901%

与 C&C IP 数量下降形成鲜明对比的是域名注册层面的恶化。.cn 域名 C&C 数量同比暴涨 771%，印度 PDR（Public Domain Registry）注册局遭到域名滥用的数量飙升 901%。这反映攻击者正快速将 C2 基础设施从 IP 集中托管转向域名注册分散化策略——特别是利用注册审核相对宽松的 TLD 和注册局。好消息：REG.RU 注册局的滥用数量则大幅下降 90%，说明注册局层面的主动治理仍然有效。

三、同期邮件安全影响

僵尸网络 C&C 的演化与邮件安全紧密相关，主要有三个方面：

• 僵尸网络驱动的垃圾邮件与钓鱼：大量的 C&C 服务器被用于控制受感染主机发送钓鱼邮件和垃圾邮件——C&C 的托管区域变化直接影响邮件安全网关的 RBL（实时黑洞列表，Real-time Blackhole List）覆盖策略；
• Sliver 框架对邮件基础设施的威胁：Sliver 支持 DNS 隧道通信，可绕过传统的深度包检测，通过 DNS 查询与 C2 通信；同时 Sliver 的 SMTP 模块可直接用于从受感染主机向外发送仿冒邮件；
• 域名滥用意味着仿冒域激增潜力：.cn 域名滥用暴涨表明以此类 TLD 注册的仿冒品牌域名和钓鱼域名将同步增加——企业应加强对相似域名（typ-squatting）的监测，并在 DMARC 报告中及时发现来自可疑域名的未授权使用记录。

四、国内市场场景补充

国内邮件系统运维团队应关注以下事项：

• 确保邮件安全网关订阅并正确使用 Spamhaus 等主流 DNSBL（DNS Blocklist）源——特别是针对新兴 TLD 和 .cn 域名的 RBL 过滤规则可能需调整；
• 对内部 DNS 日志进行 C2 检测——监控针对已知恶意域名和异常 DNS 查询模式（如大量 TXT 查询、层级过深的子域名），以便在 C2 建立通道阶段即发现内网失陷主机；
• 在邮件安全威胁情报中增加 Sliver 相关 IoC（指标，Indicator of Compromise）的覆盖——包括已知 Sliver C2 的 JA3 指纹、DNS 隧道模式特征和 HTTP User-Agent 模式。
• SPF/DKIM/DMARC 的精细化审计防止 .cn 域名的品牌仿冒。请参考我们的 SPF/DKIM/DMARC 部署检查清单。

了解更多行业资讯，请访问 行业资讯首页 或致电 021-69753778 获取安全咨询服务。

相关文章

• M3AAWG 成立金融服务专项组（SIG）
• Cloudflare 2026 威胁报告：令牌窃取绕过 MFA 成主流
• Microsoft 2026 Q2 电子邮件威胁态势

—— ztpop.net 编辑团队 译