Czym jest botnet — i dlaczego twój router może już do jednego należeć

Twitter, Netflix, Spotify, Reddit i PayPal padły tego samego popołudnia — nie z powodu awarii we własnych centrach danych, ale dlatego, że dziesiątki tysięcy domowych routerów, kamer i monitorów dla niemowląt przez dwie godziny zalewały jednego dostawcę DNS ruchem o prędkości 1,2 terabita na sekundę. Właściciele tych urządzeń nie mieli pojęcia, że cokolwiek się dzieje.

Atak był dziełem Mirai, złośliwego oprogramowania, które cicho zwerbowało około 600 000 urządzeń podłączonych do internetu, skanując w poszukiwaniu gadżetów zabezpieczonych jedynie domyślnymi hasłami fabrycznymi. Słowo „botnet” łączy „bot” (skrót od software robot) i „network”. Każde zainfekowane urządzenie nazywane jest zombie: działa normalnie dla swojego właściciela, jednocześnie po cichu wykonując polecenia zdalnego operatora przestępczego.

Jak urządzenia są werbowane

Botnety rozrastają się kilkoma ścieżkami infekcji. Phishingowe e-maile niosą złośliwe załączniki, które instalują malware po otwarciu. Niezałatane oprogramowanie ujawnia znane podatności, które automatyczne skanery przeszukują w internecie. Drive-by downloads infekują urządzenia, gdy użytkownik odwiedza stronę naszpikowaną kodem exploitów.

Najszybciej rozwijającą się ścieżką jest prostsza: domyślne dane logowania. Routery, kamery, smart TV i sieciowe dyski pamięci masowej rutynowo trafiają do sprzedaży z identycznymi hasłami — „admin/admin”, „admin/password” — których miliony użytkowników nigdy nie zmieniają. Mirai nie potrzebowało niczego bardziej wyrafinowanego niż lista 61 domyślnych par danych logowania i dostęp do otwartych portów Telnet.

Infrastruktura dowodzenia

Po infekcji urządzenie dołącza do sieci dowodzenia i kontroli, która pozwala operatorowi wydawać polecenia tysiącom lub milionom maszyn jednocześnie. Najprostsza architektura wykorzystuje centralny serwer: wydajny, ale stanowi pojedynczy punkt awarii, który organy ścigania mogą wyłączyć. Zaawansowane botnety stosują modele peer-to-peer, w których boty przekazują sobie polecenia nawzajem, bez pojedynczego punktu krytycznego. Inne rotują adresy serwerów co kilka minut — technika zwana fast-flux DNS — aby wyprzedzić listy blokad.

Operacje sponsorowane przez państwa stosują inne podejście. Volt Typhoon, grupa powiązana z chińskim wywiadem, atakująca amerykańską infrastrukturę krytyczną, od co najmniej 2021 roku unika malware’u, działając za pomocą legalnych narzędzi systemowych i skompromitowanych routerów, które pozostają niewykryte przez miesiące.

Co sieć faktycznie robi

Model przychodów botnetu jest zróżnicowany. DDoS jako usługa to najbardziej widoczny produkt: wynajmowanie mocy ataku klientom, którzy chcą wyłączyć konkurencyjną stronę internetową lub usługę rządową. Kampanie spamowe kierują miliardy phishingowych e-maili przez zainfekowaną infrastrukturę, stale rotując adresy IP, aby uniknąć list blokad. Credential stuffing wykorzystuje węzły botnetu do testowania skradzionych par login-hasło na tysiącach usług jednocześnie, rozkładając próby wystarczająco cienko, aby ominąć limity szybkości.

Cryptomining przejmuje bezczynne cykle CPU i GPU urządzeń, aby generować prywatne monety. Click fraud symuluje zaangażowanie reklamowe na dużą skalę. Model usługi proxy może być najbardziej dochodowy ze wszystkich: wynajmowanie zainfekowanych adresów IP jako rezydenckich proxy klientom, którzy potrzebują ruchu pochodzącego z prawdziwych domów, a nie z centrów danych. Sieć 911 S5, rozbita przez amerykańskie władze w maju 2024 roku, prowadziła przez ponad dekadę 28 milionów skompromitowanych adresów IP jako infrastrukturę na wynajem, generując szacunkowo 150 milionów dolarów przed ujawnieniem aktów oskarżenia federalnego.

Przypadki, które zdefiniowały zagrożenie

Mirai ustanowiło nowoczesny benchmark skali i konsekwencji. Jego atak na dostawcę DNS Dyn zakłócił więcej usług internetowych w jedno popołudnie niż jakiekolwiek wcześniejsze wydarzenie. Jego twórcy następnie opublikowali kod źródłowy, siejąc dziesiątki następców botnetów, które pozostają aktywne do dziś.

Emotet działał od 2014 roku jako trojan bankowy i ewoluował w platformę botnet-as-a-service wynajmowaną innym grupom przestępczym. W szczytowym momencie zainfekował około czterech milionów urządzeń w 180 krajach. Skoordynowana akcja organów z dziewięciu krajów zakłóciła jego działanie w styczniu 2021 roku. Odbudował się dzięki dostępowi sprzedanemu przez gang TrickBot i wznowił działalność dwanaście miesięcy później.

Do najbardziej znaczących ostatnich przypadków należy sieć rezydenckich proxy, która potajemnie zamieniła 17 milionów urządzeń w przestępczą infrastrukturę na wynajem, zanim jej operatorzy zostali aresztowani.

Jak sprawdzić, czy twoje urządzenie jest zainfekowane

Większość skompromitowanych urządzeń nie daje dramatycznych sygnałów. Stałe wysokie zużycie pasma, gdy urządzenie powinno być bezczynne, nieoczekiwana aktywność CPU, połączenia z nieznanymi adresami IP widoczne w logach ruchu routera lub powiadomienia od dostawcy internetu o nietypowym ruchu wychodzącym mogą wskazywać na kompromitację. Niektórzy dostawcy aktywnie informują klientów, gdy urządzenie na ich linii pojawi się na listach blokad botnetów.

Jak zmniejszyć ryzyko

Najskuteczniejszym pojedynczym krokiem jest zmiana domyślnych haseł fabrycznych na każdym urządzeniu sieciowym przed podłączeniem: routery, kamery, drukarki, sieciowe dyski pamięci masowej. Następnie: aktualizuj firmware na wszystkich urządzeniach, wyłącz Universal Plug and Play (UPnP) na routerze, chyba że aktywnie go używasz, i umieść urządzenia IoT w osobnej sieci, z dala od komputerów przechowujących wrażliwe dane.

Oprogramowanie do monitorowania sieci może wykryć niepokojące połączenia wychodzące, zanim pojawią się w alertach ISP. Narzędzia istnieją. Komunikaty o aktualizacjach się pojawiają. Botnety są duże, ponieważ większość ludzi ignoruje jedno i drugie.

Tagi: cyberbezpieczeństwo, malware, botnet, bezpieczeństwo IoT, DDoS, Mirai