Ett botnät är ett nätverk av komprometterade enheter som kontrolleras av en angripare. Varje infekterad maskin kallas en bot eller zombie. Ägaren har vanligtvis ingen aning. Enheterna sträcker sig från hemroutrar och IP-kameror till kompletta servrar och industriella styrenheter. Angriparen styr dem via en kommando- och kontrollkanal, ofta med hjälp av IRC-, HTTP- eller peer-to-peer-protokoll. Botnätet kan sedan hyras ut för distribuerade denial-of-service-attacker, spamkampanjer, credential stuffing eller kryptovalutautvinning.

Mirai skapade rubriker 2016 genom att infektera hundratusentals IoT-enheter med standardlösenord och lansera rekordbrytande DDoS-attacker. Källkoden läckte och varianter spreds i åratal. Emotet byggde ett botnät med miljontals maskiner och sålde åtkomst till ransomware-team. Ekonomin är enkel. Komprometterade enheter är billiga, det finns gott om dem och de är svåra att spåra. Nedtagningar sker. Polis beslagtar kommandoservrar och arresterar operatörer. Botnätet växer igen, ofta inom några veckor. Försvar handlar mest om hygien. Ändra standardlösenord. Uppdatera firmware. Segmentera IoT-enheter i ett separat nätverk. Övervaka ovanlig utgående trafik. De enheter du glömmer bort är de som angriparna hittar.

Botnät använder

• DDoS — översvämma ett mål med trafik
• Skräppost — skicka massutskick av e-post från många IP-adresser
• Inloggningsuppgifter – testa stulna inloggningar i stor skala
• Kryptomining — använd offrets CPU-kraft för vinst

Ett botnät är en hyrd armé. Angriparen behöver inte äga soldaterna.