近日，谷歌安全团队采取紧急行动，封禁了与NetNut服务相关的多个谷歌账户。据谷歌威胁情报组（GTIG）披露，这些账户被恶意软件用于指挥和控制（C2）通信，从而构建了一个规模庞大的僵尸网络。GTIG初步估计，该僵尸网络在全球范围内控制了约200万台设备，涵盖个人电脑、物联网设备乃至部分移动终端。

事件经过：谷歌账户成恶意软件“中枢神经”

谷歌在例行安全审计中发现，一批看似普通的谷歌账户存在异常活跃的登录与数据交换行为。进一步追溯显示，这些账户并非用于正常的谷歌服务，而是充当了恶意软件控制的“信标”。攻击者利用NetNut提供的代理服务，将大量受感染设备的流量伪装成合法用户请求，与谷歌服务器建立连接，从而接收指令或回传窃取的信息。

NetNut本是一家合法的住宅代理服务商，其业务模式是通过用户自愿分享网络带宽来提供IP代理。然而，谷歌安全团队发现，恶意组织滥用了NetNut的基础设施，将原本用于正常代理的账户变为了僵尸网络的指挥节点。谷歌随即冻结了相关账户，切断了攻击者与受控设备之间的通信链路。

规模惊人：200万台设备构成潜在威胁

GTIG在报告中指出，该僵尸网络已蔓延至全球多个国家和地区，其中北美、欧洲和东南亚地区受害尤为严重。部分设备属于企业内网终端，一旦被完全控制，可能引发数据泄露、勒索软件攻击等连锁灾难。GTIG安全研究员表示：“这200万台设备中，许多是长期在线且缺乏有效防护的物联网设备，例如智能摄像头、路由器等。攻击者可以通过它们发起DDoS攻击、分发恶意软件，甚至作为跳板入侵更敏感的内部网络。”

值得注意的是，NetNut本身并非恶意软件，但其平台提供的匿名代理功能被攻击者巧妙利用，使得流量在通过谷歌服务器时难以被传统安全工具识别。谷歌此次封禁账户，实际上是从通信链路的关键节点切断了僵尸网络的“神经”，但已受感染的设备仍需用户自行清除。

背景解析：代理服务为何成为攻击温床？

NetNut等住宅代理服务的初衷是帮助用户绕过地理限制或进行合法数据采集，但近年来已成为网络犯罪的热门工具。由于住宅代理的IP地址来自真实用户，且具有动态变化特性，安全厂商难以建立黑名单。恶意软件通过此类代理与C2服务器通信，可大幅降低被检测概率。

此次事件再次暴露出代理服务在安全监管方面的漏洞。虽然NetNut声称其平台有合规使用条款，但显然未能有效阻止恶意利用。谷歌安全团队呼吁代理服务商加强流量监测，并与云服务商建立快速响应机制，及时封禁可疑账户。

用户警示：如何防范沦为僵尸网络一员？

GTIG建议普通用户和企业采取以下措施：首先，立即检查家中或办公室内所有联网设备，确保固件为最新版本，并修改默认密码；其次，留意设备是否出现异常卡顿、网速骤降或不明程序自动运行等现象；最后，企业应部署网络流量监控工具，对异常出站连接进行实时告警。

谷歌表示，将持续追踪该僵尸网络的余波，并配合执法机构打击幕后黑手。同时，谷歌将在其安全博客中公布具体的受损账户特征，以便其他安全厂商协同防御。

此次封禁行动虽然暂时遏制了僵尸网络的扩张，但全球网络空间的安全治理仍任重道远。当合法服务被恶意利用，任何企业都无法独善其身，唯有加强跨行业协作，才能在这场隐形的战争中占据主动。