A botnet egy támadó által irányított, feltört eszközökből álló hálózat. Minden fertőzött gépet botnak vagy zombinak neveznek. A tulajdonosnak általában fogalma sincs róla. Az eszközök az otthoni routerektől és IP-kameráktól kezdve a teljes értékű szerverekig és ipari vezérlőkig terjednek. A támadó parancs-és-vezérlési csatornán keresztül irányítja őket, gyakran IRC, HTTP vagy peer-to-peer protokollokat használva. A botnet ezután bérbe adható elosztott szolgáltatásmegtagadási támadásokhoz, spam kampányokhoz, hitelesítő adatok begyűjtéséhez vagy kriptovaluta-bányászathoz.

A Mirai 2016-ban került a címlapokra azzal, hogy több százezer IoT-eszközt fertőzött meg alapértelmezett jelszavakkal, és rekordokat döntő DDoS-támadásokat indított. A forráskód kiszivárgott, és a variánsok évekig terjedtek. Az Emotet több millió gépből álló botnetet épített, és hozzáférést adott el zsarolóvírus-csapatoknak. A közgazdaságtan egyszerű. A feltört eszközök olcsók, bőségesen vannak, és nehéz nyomon követni őket. Előfordulnak eltávolítások. A bűnüldöző szervek lefoglalják a parancsszervereket és letartóztatják az üzemeltetőket. A botnet újra növekszik, gyakran heteken belül. A védekezés többnyire a higiéniára épül. Az alapértelmezett jelszavak módosítása. Firmware javítása. IoT-eszközök szegmentálása külön hálózaton. Szokatlan kimenő forgalom figyelése. A támadók azokat az eszközöket találják meg, amelyekről elfelejtkezünk.

Botnet-használat

• DDoS – célpont elárasztása forgalommal
• Spam – tömeges e-mail küldés sok IP-címről
• Hitelesítő adatok begyűjtése – lopott bejelentkezések tesztelése nagy mennyiségben
• Kriptovaluta-bányászat — használd ki az áldozat CPU-teljesítményét profitszerzésre

A botnet egy bérelt hadsereg. A támadónak nem kell birtokolnia a katonákat.