Et botnet er et netværk af kompromitterede enheder, der kontrolleres af én angriber. Hver inficeret maskine kaldes en bot eller zombie. Ejeren har normalt ingen anelse om det. Enhederne spænder fra hjemmeroutere og IP-kameraer til komplette servere og industrielle controllere. Angriberen kommanderer dem via en kommando-og-kontrol-kanal, ofte ved hjælp af IRC-, HTTP- eller peer-to-peer-protokoller. Botnettet kan derefter lejes ud til distribuerede denial-of-service-angreb, spamkampagner, credential stuffing eller kryptovaluta-mining.

Mirai skabte overskrifter i 2016 ved at inficere hundredtusindvis af IoT-enheder med standardadgangskoder og lancere rekordbrydende DDoS-angreb. Kildekoden lækkede, og varianter spredte sig i årevis. Emotet byggede et botnet med millioner af maskiner og solgte adgang til ransomware-hold. Økonomien er enkel. Kompromitterede enheder er billige, der findes i rigelige mængder og svære at spore. Nedtagninger sker. Politiet beslaglægger kommandoservere og anholder operatører. Botnettet vokser igen, ofte inden for få uger. Forsvar handler for det meste om hygiejne. Skift standardadgangskoder. Opdater firmware. Segmenter IoT-enheder på et separat netværk. Overvåg for usædvanlig udgående trafik. De enheder, du glemmer, er dem, angriberne finder.

Botnet-brug

• DDoS — oversvømme et mål med trafik
• Spam — send massemails fra mange IP-adresser
• Legitimationsudfyldning — test stjålne logins i stor skala
• Krypto-mining — brug offerets CPU-kraft til profit

Et botnet er en lejet hær. Angriberen behøver ikke at eje soldaterne.