Botnet
Botnet to sieć zainfekowanych komputerów, serwerów, routerów albo kamer, które wykonują polecenia operatora (botmastera) bez wiedzy właściciela sprzętu. Pojedynczy host to bot albo “zombie” w starym żargonie. Siła botnetu leży w skali: tysiące łączy domowych albo setki serwerów w chmurze dają moc, której jeden napastnik z laptopa nie ma.
Na blackweb.pl botnet to infrastruktura pod inne cele: DDoS, rozsyłanie spamu i phishingu, proxy do ukrycia źródła, skanowanie pod exploity, czasem kopanie kryptowalut na cudzym prądzie. Bez instrukcji werbunku hostów.
Jak host wchodzi do sieci (opisowo)
Wektory są te same, które znamy z innych haseł: trojan w cracku, worm na lukę w usłudze, słabe hasła na IoT, skompromitowane panele. Po infekcji bot łączy się do kanału sterowania (C2): domena, IP, czasem zdecentralizowany mechanizm. Operator wysyła komendy. Bot wykonuje. Właściciel widzi wolniejszy internet, cieplejszy router albo nic.
Mirai i potomkowie pokazały, że tanie urządzenia z domyślnymi hasłami skalują się lepiej niż “elitarne” exploity na desktopach. Homogeniczność firmware to prezent. Aktualizacje IoT i izolacja w LAN to nuda, która działa.
Do czego się używa
Wolumetryczny DDoS na łącze albo aplikację. Spam miliony wiadomości dziennie. Credential stuffing z wielu IP. Hosting przejściowy dla innych kampanii. Wynajem mocy w modelu “crime as a service”. W threat intelligence liczy się nie tylko “czy mam bota”, lecz “czyj C2 i jaki motyw”.
Część botnetów jest krótkożyciowa. Część trzyma się latami przez kolejne warianty. Take-down infrastruktury bywa skuteczny na chwilę. Hosty niezałatane wracają do kolejnego operatora.
Objawy i obrona po stronie właściciela
Nietypowy ruch wychodzący, zwłaszcza nocą. Wysokie CPU na urządzeniu, które nic nie robi. Znajome porty otwarte “same”. Na routerze: nieznane reguły przekierowań. Reakcja: odłączenie, factory reset IoT z zmianą haseł, reimage stacji, aktualizacja firmware, segmentacja “gadżetów” poza siecią z laptopami pracy.
Po stronie usługodawcy i firm: limity rate, anty-DDoS, monitoring anomalii, nieeksponowanie paneli zarządzania. Patch na brzegowych CVE zmniejsza werbunek. Malware na endpoints to jeden wektor. Otwarty telnet na kamerze to drugi.
Botnet a opsec
Jeśli Twoja stacja jest botem, problemem jest nie tylko udział w cudzym ataku. Jest też backdoor i możliwa kradzież danych z tej samej infekcji. Opsec źródła na sprzęcie, który jednocześnie kopie albo flooduje, jest sprzecznością. Czyste urządzenie po alercie nie jest przesadą.
Nie opisuję tu budowy C2 ani komend. Opisuję klasę infrastruktury, bo bez niej trudno zrozumieć współczesny DDoS i część spamu.