這就需要通過網絡安全技術切斷僵屍網絡通向企業網絡的傳播途徑。以近期最危險的僵屍網絡程序之一Torpig為例，該僵屍網絡程序的目的就是竊取身份認證信息、信用卡、銀行賬號和支付寶賬戶等。典型的Torpig感染方式如下圖所示：

典型的Torpig感染方式

　　步驟1：桌面機客戶訪問某一Web服務器，該Web服務器由於存在漏洞，被Torpig感染；

　　步驟2：Torpig通過iframe方式修改用戶的瀏覽器訪問；

　　步驟3：重定向之後，桌面機客戶的Web訪問指向了Mebroot下載服務器；

　　步驟4：Mebroot下載服務器將Mebroot、注入DLL等下載到桌面機，該桌面機成為僵屍網絡客戶端；

　　步驟5：每兩小時，該僵屍網絡客戶端和Mebroot C&C服務器聯系；

　　步驟6：Torpig DLL注入到IE、Firefox等瀏覽器中，Outlook郵件客戶端，Skype和即時通訊軟件中；

　　步驟7：每20分鍾，將竊取的身份認證信息、信用卡、銀行賬號和支付寶賬戶上傳到Torpig C&C服務器上；

　　步驟8：Torpig C&C服務器下發包含銀行域名、新的C&C服務器300個域名等信息的配置文件；

　　步驟9：僵屍網絡客戶端訪問注入服務器；

　　步驟10：注入服務器發送釣魚HTML文件到僵屍網絡客戶端。

　　值得注意的是，除了已知的各種技術，Torpig僵屍網絡使用了一些新的技術，使得防范和反向追蹤變得更為困難，如Mebroot下載服務器的路過式（Drive-by）感染，還有域名流動技術以隨時變更C&C服務器。

　　要切斷Torpig的傳播，一種方法就是切斷其與Torpig C&C服務器的聯系，但是由於其域名流動技術使得該操作變得異常困難。加州大學聖巴巴拉分校（UCSB）的研究小組表現出了相當的耐心的纔能。發現Torpig僵屍網絡在確定攻擊目標時使用的算法，提前計算出了Torpig將很快檢查的域名，並特意在名聲不好的域名提供商那裡購買了這些域名。從而順利地『接管』了一個龐大的Torpig僵屍網絡長達10天。但是僵屍網絡控制者查覺後，使用了新版的Torpig，改變了僵屍網絡選擇域名的算法，這一方法已經不再奏效。另外，這種預測並接管的方法過於復雜並且相對而言比較被動，並不適合企業使用。

　　McAfee Lab的研究人員通過在McAfee 入侵防護系統中加入各種新的安全技術，從而實現了對於僵屍網絡的全面網絡防護，下圖給出了該系統防護Torpig的方式：

防護Torpig

　　對應於前述Torpig僵屍網絡的感染途徑，該系統可以起到以下作用。

　　步驟1：屬於正常的Web訪問，無需阻斷；

　　步驟2：通過McAfee 入侵防護系統的漏洞保護功能，阻斷Torpig通過iframe方式修改用戶的瀏覽器；

　　步驟3：仍屬於正常的Web訪問，無需阻斷；

　　步驟4：通過McAfee 入侵防護系統的Artemis雲安全技術，檢測並阻斷服務器下發的Rootkit和惡件，避免該桌面機成為僵屍網絡客戶端；

　　步驟5：屬於IRC通信，無需阻斷；

　　步驟6：通過McAfee 入侵防護系統的Artemis雲安全技術，檢測並阻斷服務器下發的Torpig DLL，避免瀏覽器注入等攻擊；

　　步驟7：通過McAfee 入侵防護系統的行為檢測技術，檢測並阻斷每20分鍾的上傳竊取信息到 Torpig C&C服務器上；

　　步驟8：通過McAfee 入侵防護系統的行為檢測技術，檢測並阻斷Torpig C&C服務器下發的配置文件；

　　步驟9：屬於正常的Web訪問，無需阻斷；

　　步驟10：文件傳輸，無需阻斷。

　　通過這一方式，McAfee Lab研究人員成功地切斷了Torpig僵屍網絡的關鍵傳播途徑，即服務器端發起對客戶端的攻擊、服務器端下發Rootkit和惡件以及僵屍網絡客戶端和C&C服務器的信息傳輸，從而實現了在網絡層對於Torpig等僵屍網絡的防護。