Ботнет — это сеть скомпрометированных устройств, управляемая одним злоумышленником. Каждая зараженная машина называется ботом или зомби. Владелец обычно ничего об этом не знает. Устройства варьируются от домашних маршрутизаторов и IP-камер до полноценных серверов и промышленных контроллеров. Злоумышленник управляет ими через канал управления, часто используя IRC, HTTP или пиринговые протоколы. Затем ботнет можно арендовать для распределенных атак типа «отказ в обслуживании», спам-кампаний, подбора учетных данных или майнинга криптовалюты.

В 2016 году Mirai попал в заголовки новостей, заразив сотни тысяч IoT-устройств паролями по умолчанию и запустив рекордные DDoS-атаки. Исходный код просочился в сеть, и его варианты распространялись годами. Emotet создал ботнет из миллионов машин и продавал доступ группам вымогателей. Экономика проста. Компрометированные устройства дешевы, многочисленны и их трудно отследить. Происходят захваты. Правоохранительные органы изымают командные серверы и арестовывают операторов. Ботнет восстанавливается, часто в течение нескольких недель. Защита в основном сводится к гигиене. Смена паролей по умолчанию. Обновление прошивки. Сегментация IoT-устройств в отдельной сети. Мониторинг необычного исходящего трафика. Те устройства, о которых вы забываете, — это те, которые находят злоумышленники.

Ботнет использует

• DDoS-атака — перегрузка целевого объекта трафиком.
• Спам — рассылка массовых писем с множества IP-адресов.
• Подбор учетных данных — тестирование украденных учетных записей в масштабе
• Майнинг криптовалют — использование вычислительной мощности процессора жертвы для получения прибыли.

Ботнет — это арендованная армия. Злоумышленнику не обязательно владеть солдатами.