O rețea de bot-uri este o rețea de dispozitive compromise controlate de un singur atacator. Fiecare mașină infectată se numește bot sau zombie. Proprietarul nu are de obicei nicio idee. Dispozitivele variază de la routere de acasă și camere IP până la servere complete și controlere industriale. Atacatorul le comandă printr-un canal de comandă și control, adesea folosind protocoale IRC, HTTP sau peer-to-peer. Rețeaua de bot-uri poate fi apoi închiriată pentru atacuri distribuite de tip denial-of-service, campanii de spam, umplerea credențialelor sau minarea de criptomonede.

Mirai a făcut furori în 2016 infectând sute de mii de dispozitive IoT cu parole implicite și lansând atacuri DDoS record. Codul sursă a fost scurs, iar variantele s-au răspândit ani de zile. Emotet a construit o rețea de bot-uri de milioane de mașini și a vândut acces echipelor de ransomware. Economia este simplă. Dispozitivele compromise sunt ieftine, numeroase și greu de urmărit. Au loc operațiuni de deblocare. Forțele de ordine confiscă serverele de comandă și arestează operatorii. Rețeaua de bot-uri se regenerează, adesea în câteva săptămâni. Apărarea este în mare parte igienă. Schimbați parolele implicite. Aplicați patch-uri de firmware. Segmentați dispozitivele IoT pe o rețea separată. Monitorizați traficul de ieșire neobișnuit. Dispozitivele de care uitați sunt cele pe care le găsesc atacatorii.

Utilizări de botnet

• DDoS — inundarea unei ținte cu trafic
• Spam — trimiteți e-mailuri în bloc de la mai multe adrese IP
• Umplerea cu acreditări — testarea autentificărilor furate la scară largă
• Minerit de criptomonede — folosește puterea procesorului victimei pentru profit

O rețea de boturi este o armată închiriată. Atacatorul nu trebuie să dețină soldații.