Uma botnet é uma rede de dispositivos comprometidos controlados por um atacante. Cada máquina infetada é chamada de bot ou zombie. O proprietário geralmente não tem conhecimento disso. Os dispositivos variam desde routers domésticos e câmaras IP até servidores completos e controladores industriais. O atacante comanda-os através de um canal de comando e controlo, utilizando frequentemente protocolos IRC, HTTP ou ponto a ponto. A botnet pode então ser alugada para ataques de negação de serviço distribuídos (DDoS), campanhas de spam, preenchimento de credenciais ou mineração de criptomoedas.

O Mirai fez manchetes em 2016 ao infetar centenas de milhares de dispositivos IoT com palavras-passe padrão e ao lançar ataques DDoS recorde. O código-fonte vazou e as variantes espalharam-se por anos. O Emotet construiu uma botnet com milhões de máquinas e vendeu o acesso a grupos de ransomware. A lógica económica é simples: os dispositivos comprometidos são baratos, abundantes e difíceis de rastrear. As operações de desmantelamento acontecem. As autoridades apreendem servidores de comando e detêm os operadores. A botnet regenera-se, muitas vezes em questão de semanas. A defesa resume-se principalmente a medidas de higiene. Troque as palavras-passe padrão. Atualize o firmware. Segmente os dispositivos IoT numa rede separada. Monitorize o tráfego de saída invulgar. Os dispositivos que se esquecem são os que os atacantes encontram.

A botnet utiliza

• DDoS — inundar um alvo com tráfego
• Spam — envio de e-mails em massa a partir de vários endereços IP.
• Ataques de preenchimento de credenciais — teste logins roubados em larga escala
• Mineração de criptomoedas — utilize o poder de processamento da CPU da vítima para obter lucro.

Uma botnet é um exército alugado. O atacante não tem de ser o dono dos soldados.