Botnet to sieć zainfekowanych urządzeń kontrolowanych przez jednego atakującego. Każda zainfekowana maszyna nazywana jest botem lub zombie. Właściciel zazwyczaj nie ma o tym pojęcia. Urządzenia te obejmują zarówno domowe routery i kamery IP, jak i pełne serwery oraz sterowniki przemysłowe. Atakujący steruje nimi za pośrednictwem kanału dowodzenia i kontroli, często wykorzystując protokoły IRC, HTTP lub peer-to-peer. Botnet może być następnie wykorzystywany do rozproszonych ataków typu „odmowa usługi”, kampanii spamowych, wypychania danych uwierzytelniających (credential stuffing) lub kopania kryptowalut.

Mirai trafił na pierwsze strony gazet w 2016 roku, infekując setki tysięcy urządzeń IoT domyślnymi hasłami i przeprowadzając rekordowe ataki DDoS. Kod źródłowy wyciekł, a warianty rozprzestrzeniały się latami. Emotet zbudował botnet składający się z milionów maszyn i sprzedał dostęp ekipom ransomware. Ekonomia jest prosta. Zainfekowane urządzenia są tanie, liczne i trudne do wyśledzenia. Awarie się zdarzają. Organy ścigania przejmują serwery dowodzenia i aresztują operatorów. Botnet odradza się, często w ciągu kilku tygodni. Obrona to głównie higiena. Zmień domyślne hasła. Wprowadź poprawki do oprogramowania układowego. Segmentuj urządzenia IoT w oddzielnej sieci. Monitoruj nietypowy ruch wychodzący. Urządzenia, o których zapomnisz, to te, które znajdą atakujący.

Botnet wykorzystuje

• DDoS — zalewanie celu ruchem
• Spam — wysyłaj masowe wiadomości e-mail z wielu adresów IP
• Wypychanie poświadczeń — testowanie skradzionych logowań na dużą skalę
• Kopanie kryptowalut — wykorzystuj moc obliczeniową ofiary w celu osiągnięcia zysku

Botnet to wynajęta armia. Atakujący nie musi posiadać żołnierzy.