Et botnett er et nettverk av kompromitterte enheter kontrollert av én angriper. Hver infiserte maskin kalles en bot eller zombie. Eieren aner vanligvis ikke. Enhetene spenner fra hjemmerutere og IP-kameraer til komplette servere og industrielle kontrollere. Angriperen kommanderer dem gjennom en kommando-og-kontrollkanal, ofte ved hjelp av IRC-, HTTP- eller peer-to-peer-protokoller. Botnettet kan deretter leies ut til distribuerte tjenestenektangrep, spamkampanjer, legitimasjonsstuffing eller kryptovalutautvinning.

Mirai skapte overskrifter i 2016 ved å infisere hundretusenvis av IoT-enheter med standardpassord og lansere rekordbrytende DDoS-angrep. Kildekoden lekket, og varianter spredte seg i årevis. Emotet bygde et botnett med millioner av maskiner og solgte tilgang til ransomware-mannskaper. Økonomien er enkel. Kompromitterte enheter er billige, det finnes mange av dem og de er vanskelige å spore. Nedtakelser skjer. Politiet beslaglegger kommandoservere og arresterer operatører. Botnettet vokser opp igjen, ofte i løpet av uker. Forsvar handler stort sett om hygiene. Endre standardpassord. Oppdater fastvare. Segmenter IoT-enheter på et separat nettverk. Overvåk for uvanlig utgående trafikk. Enhetene du glemmer, er de angriperne finner.

Botnett bruker

• DDoS — oversvømme et mål med trafikk
• Spam – send masse-e-post fra mange IP-adresser
• Legitimasjonsfylling – test stjålne pålogginger i stor skala
• Krypto-mining – bruk offerets CPU-kraft til profitt

Et botnett er en leid hær. Angriperen trenger ikke å eie soldatene.