Una botnet es una red de dispositivos comprometidos controlada por un único atacante. Cada máquina infectada se denomina bot o zombie. El propietario generalmente lo desconoce. Los dispositivos abarcan desde routers domésticos y cámaras IP hasta servidores completos y controladores industriales. El atacante los controla mediante un canal de comando y control, a menudo utilizando protocolos IRC, HTTP o peer-to-peer. Posteriormente, la botnet puede alquilarse para ataques de denegación de servicio distribuidos, campañas de spam, robo de credenciales o minería de criptomonedas.

Mirai fue noticia en 2016 al infectar cientos de miles de dispositivos IoT con contraseñas predeterminadas y lanzar ataques DDoS sin precedentes. El código fuente se filtró y las variantes se propagaron durante años. Emotet creó una botnet de millones de máquinas y vendió el acceso a grupos de ransomware. La economía es simple: los dispositivos comprometidos son baratos, abundantes y difíciles de rastrear. Se producen desmantelamientos. Las fuerzas del orden incautan servidores de comando y arrestan a los operadores. La botnet vuelve a crecer, a menudo en cuestión de semanas. La defensa se basa principalmente en la higiene: cambiar las contraseñas predeterminadas, actualizar el firmware, segmentar los dispositivos IoT en una red separada y monitorizar el tráfico saliente inusual. Los dispositivos que uno olvida son los que encuentran los atacantes.

Botnet utiliza

• DDoS: inundar un objetivo con tráfico
• Spam: envío masivo de correos electrónicos desde múltiples direcciones IP.
• Relleno de credenciales: prueba de accesos robados a gran escala
• Minería de criptomonedas: aprovecha la potencia de la CPU de las víctimas para obtener ganancias.

Una botnet es un ejército alquilado. El atacante no necesita ser dueño de los soldados.