봇넷은 한 명의 공격자가 제어하는 ​​감염된 장치들의 네트워크입니다. 감염된 각 장치는 봇 또는 좀비라고 불립니다. 소유자는 대개 자신이 감염된 사실을 알지 못합니다. 이러한 장치는 가정용 라우터와 IP 카메라부터 대형 서버 및 산업용 컨트롤러에 이르기까지 다양합니다. 공격자는 명령 및 제어 채널을 통해 이러한 장치들을 제어하며, 주로 IRC, HTTP 또는 P2P 프로토콜을 사용합니다. 이렇게 구축된 봇넷은 분산 서비스 거부 공격(DDoS), 스팸 캠페인, 자격 ​​증명 탈취 또는 암호화폐 채굴 등에 활용될 수 있도록 임대될 수 있습니다.

Mirai는 2016년 수십만 대의 IoT 기기에 기본 비밀번호를 감염시키고 기록적인 DDoS 공격을 감행하여 큰 화제를 모았습니다. 소스 코드가 유출되면서 변종들이 수년간 확산되었습니다. Emotet은 수백만 대의 기기로 구성된 봇넷을 구축하고 랜섬웨어 조직에 접근 권한을 판매했습니다. 이러한 공격의 경제적 원리는 간단합니다. 감염된 기기는 저렴하고, 많으며, 추적하기 어렵습니다. 봇넷을 차단하는 작전이 성공하면 법 집행 기관은 명령 서버를 압수하고 운영자를 체포합니다. 하지만 봇넷은 종종 몇 주 안에 다시 확장됩니다. 방어는 대부분 위생 관리에 달려 있습니다. 기본 비밀번호를 변경하고, 펌웨어를 패치하고, IoT 기기를 별도의 네트워크에 분리하고, 비정상적인 외부 트래픽을 모니터링해야 합니다. 공격자는 사용자가 소홀히 하는 기기를 노립니다.

봇넷 사용

• DDoS 공격 — 대상에게 트래픽을 집중적으로 발생시키는 공격
• 스팸 — 여러 IP 주소에서 대량 이메일 발송
• 자격 증명 도용 공격 — 탈취한 로그인 정보를 대규모로 테스트
• 암호화폐 채굴 - 피해자의 CPU 성능을 이용해 수익을 창출하세요

봇넷은 임대한 군대와 같습니다. 공격자는 병력을 직접 소유할 필요가 없습니다.