Een botnet is een netwerk van gecompromitteerde apparaten dat wordt bestuurd door één aanvaller. Elke geïnfecteerde machine wordt een bot of zombie genoemd. De eigenaar heeft hier meestal geen idee van. De apparaten variëren van routers en IP-camera's voor thuisgebruik tot volwaardige servers en industriële controllers. De aanvaller bestuurt ze via een command-and-control-kanaal, vaak met behulp van IRC, HTTP of peer-to-peer-protocollen. Het botnet kan vervolgens worden verhuurd voor gedistribueerde denial-of-service-aanvallen, spamcampagnes, credential stuffing of cryptomining.

Mirai haalde in 2016 de krantenkoppen door honderdduizenden IoT-apparaten te infecteren met standaardwachtwoorden en recordbrekende DDoS-aanvallen uit te voeren. De broncode lekte uit en varianten verspreidden zich jarenlang. Emotet bouwde een botnet van miljoenen machines en verkocht toegang aan ransomware-groepen. De economische principes zijn simpel. Gecompromitteerde apparaten zijn goedkoop, talrijk en moeilijk te traceren. Opruimacties vinden plaats. De politie neemt commandoservers in beslag en arresteert de beheerders. Het botnet groeit echter weer aan, vaak binnen enkele weken. Verdediging is vooral een kwestie van hygiëne. Wijzig standaardwachtwoorden. Update de firmware. Segmenteer IoT-apparaten op een apart netwerk. Monitor ongebruikelijk uitgaand verkeer. De apparaten die je vergeet, zijn de apparaten die aanvallers vinden.

Botnet maakt gebruik van

• DDoS — een doelwit overspoelen met verkeer
• Spam — het verzenden van bulk-e-mails vanaf meerdere IP-adressen.
• Credential stuffing — test gestolen inloggegevens op grote schaal
• Cryptomining — maak gebruik van de rekenkracht van de CPU van het slachtoffer voor winst.

Een botnet is een gehuurd leger. De aanvaller hoeft de soldaten niet zelf te bezitten.