ボットネットとは、一人の攻撃者によって制御される、侵害されたデバイスのネットワークのことです。感染した各マシンはボットまたはゾンビと呼ばれます。所有者は通常、自分が感染していることに気づいていません。対象となるデバイスは、家庭用ルーターやIPカメラから、フルサーバーや産業用コントローラーまで多岐にわたります。攻撃者は、IRC、HTTP、またはピアツーピアプロトコルなどを用いたコマンド＆コントロールチャネルを通じて、これらのデバイスを制御します。ボットネットは、分散型サービス拒否攻撃、スパムキャンペーン、クレデンシャルスタッフィング、仮想通貨マイニングなどに利用されることがあります。

Miraiは2016年に、デフォルトパスワードを使用して数十万台のIoTデバイスに感染し、記録的なDDoS攻撃を仕掛けたことで大きな話題となった。ソースコードが流出し、亜種が何年も拡散した。Emotetは数百万台のマシンからなるボットネットを構築し、ランサムウェアチームにアクセス権を販売した。経済原理は単純だ。侵害されたデバイスは安価で豊富にあり、追跡が困難だ。テイクダウンは起こる。法執行機関はコマンドサーバーを押収し、オペレーターを逮捕する。ボットネットは多くの場合数週間以内に再び拡大する。防御策は主に衛生管理だ。デフォルトパスワードを変更する。ファームウェアにパッチを適用する。IoTデバイスを別のネットワークにセグメント化する。異常な送信トラフィックを監視する。忘れられたデバイスこそ、攻撃者が見つけるものだ。

ボットネットは

• DDoS攻撃 — 標的に大量のトラフィックを送り込む
• スパム — 多数のIPアドレスから大量のメールを送信する
• クレデンシャルスタッフィング — 盗まれたログイン情報を大規模にテストする
• 仮想通貨マイニング ― 被害者のCPUパワーを悪用して利益を得る

ボットネットとは、借り物の軍隊のようなものだ。攻撃者は兵士を所有する必要はない。