Botnet

Una botnet es una red de dispositivos informáticos que han sido comprometidos y que un único operador controla en remoto.

Esos dispositivos, a los que se suele llamar bots o zombis, pueden ser ordenadores de sobremesa, servidores, dispositivos IoT y teléfonos móviles infectados con malware escrito para alistarlos en la red.

Lo que convierte a una botnet en una botnet es la capacidad del operador de dar órdenes a muchos dispositivos a la vez y apuntar su capacidad conjunta adonde quiera.

Cómo se construye una

Infección silenciosa. Los dispositivos suelen entrar sin que su dueño note nada. El malware llega por correo, desde un sitio malicioso, o a través de una vulnerabilidad de un sistema o de una aplicación que nunca se parcheó.

Control remoto. Una vez que un dispositivo ha entrado, el operador puede enviarle instrucciones, sacarle información y coordinarlo con el resto. Ese canal es el command and control, y es lo que convierte un montón de máquinas infectadas en una red aprovechable.

Capacidad agregada. Una botnet hace cosas que una sola máquina no puede, porque suma el ancho de banda, las direcciones y el tiempo de proceso de miles de equipos.

Persistencia. Las botnets se construyen para sobrevivir. Los operadores actualizan el malware, cambian la forma en que se propaga y reconstruyen la red después de que se desmantele una parte.

Para qué se usan

Denegación de servicio distribuida. El uso más conocido: miles de dispositivos coordinados inundan un servicio con tráfico hasta que deja de responder a los usuarios reales. Eso es lo que describe el DDoS.

Spam y phishing a gran volumen. El correo enviado desde miles de direcciones residenciales es más difícil de filtrar que el correo enviado desde un solo servidor.

Robo de información. Controlar un dispositivo significa acceder a lo que hay guardado en él y a lo que se teclea en él: credenciales, datos bancarios, datos personales.

Minado de criptomonedas. La electricidad de otro y el procesador de otro, que es lo que significa en la práctica el cryptojacking.

Fraude publicitario. Clics e impresiones automáticos facturados como si los hubiera hecho una persona.

Un ejemplo

Un operador tiene una botnet de varios miles de equipos comprometidos: ordenadores domésticos, servidores de pequeñas empresas y dispositivos IoT como cámaras y routers.

En el momento elegido sale la orden, y todos los dispositivos empiezan a la vez a lanzar peticiones contra el mismo objetivo.

La red del objetivo ve un volumen de tráfico para el que nunca se dimensionó. Sus servicios en línea dejan de responder a los clientes reales, y desde fuera el incidente parece una caída y no un ataque.

Hay dos cosas que lo hacen difícil de contestar. El tráfico llega desde miles de direcciones legítimas que pertenecen a gente que no ha hecho nada malo, así que bloquear por dirección es un instrumento muy tosco; y los dueños de esos dispositivos no tienen ni idea de que su cámara está participando.

Dónde aparece esto en una auditoría

Las botnets son la razón por la que dos defensas que se tratan como opcionales no lo son. Parchear lo que está expuesto a internet importa porque así es como se recluta a los dispositivos, para empezar. Saber qué sale de tu red importa porque un dispositivo que se ha unido a una botnet tiene que llegar hasta su controlador para valer algo, y esa conexión saliente suele ser la primera señal observable de que un equipo ya no es tuyo.