Ботнет — сеть заражённых устройств¶
Ботнет (от англ. bot network — сеть роботов) — совокупность заражённых компьютеров, серверов, смартфонов и других устройств, объединённых в распределённую сеть и управляемых удалённо злоумышленником («ботмейкером»). Каждое устройство сети называется «ботом» или «зомби». Владелец ботнета («ботмастер») может использовать заражённые устройства для рассылки спама, проведения атак типа «отказ в обслуживании» (DDoS), перехвата данных, майнинга криптовалюты и других противоправных действий.
¶История
Первые ботнеты появились в конце 1990-х годов. Одним из ранних примеров стал ботнет «EarthLink Spam Botnet» (2000), через который было рассылано около 1,5 миллиардов спам-сообщений. В 2004 году FBI совместно с Microsoft провела операцию по закрытию ботнета «Sdbot», заразившего около 60 000 компьютеров.
В 2007—2010 годах получили распространение ботнеты, построенные на IRC- и HTTP-каналах управления. Крупнейшим событием стало обнаружение в 2009 году ботнета «Conficker», заразившего миллионы компьютеров по всему миру через уязвимость в Windows.
В 2016 году появился ботнет Mirai, ориентированный на устройства «интернета вещей» (IoT) — маршрутизаторы, IP-камеры, умные устройства. Mirai использовал перебор стандартных паролей для заражения устройств и стал причиной масштабной атаки на DNS-провайдера Dyn в октябре 2016 года, в результате которой недоступными оказались сайты Twitter, Netflix, Reddit и другие крупные ресурсы. Исходный код Mirai был опубликован злоумышленниками, что привело к появлению множества модификаций.
¶Устройство и принцип работы
Ботнет состоит из трёх основных элементов:
- Боты — заражённые устройства, на которых установлено вредоносное программное обеспечение («бот-агент»).
- Канал управления (C&C, Command and Control) — способ связи ботмастера с ботами. Традиционно использовались IRC-серверы, позже — HTTP/HTTPS, а также децентрализованные протоколы (P2P, DNS-туннели, Tor).
- Ботмастер — оператор, отправляющий команды через панель управления.
Принцип работы: после заражения устройства бот-агент устанавливает связь с сервером управления и ожидает команд. Команды могут включать запуск DDoS-атаки, сбор данных, установку дополнительного ПО, отправку спама. Децентрализованные P2P-ботнеты (например, ZeroAccess) не имеют единого сервера управления, что затрудняет их уничтожение.
¶Способы распространения
Боты распространяются несколькими основными способами:
- Эксплуатация уязвимостей — автоматический поиск устройств с незакрытыми уязвимостями (характерно для Mirai и его модификаций).
- Фишинг и вредоносные вложения — рассылка писем с заражёнными файлами.
- Заражённые сайты — использование эксплойтов в браузерах (drive-by download).
- Вредоносные программы — трояны, шифровальщики, распространяемые через файловые обменники и пиринговые сети.
- Слабые пароли — перебор стандартных логинов и паролей на устройствах IoT.
¶Использование ботнетов
Основные сферы применения ботнетов криминального характера:
- DDoS-атаки — отправка огромного потока запросов к целевому серверу с целью его недоступности. Ботнеты используются для атак на банки, государственные ресурсы, игровые серверы. Услуги DDoS-атак через ботнеты продаются в даркнете по модели «DDoS-as-a-Service».
- Рассылка спама — до 80 % мирового спама рассылалось через ботнеты (по оценкам Symantec).
- Кража данных — перехват банковских реквизитов, паролей, личной информации.
- Майнинг криптовалюты — использование вычислительных ресурсов заражённых устройств для добычи криптовалюты.
- Прокси-сети — сдача заражённых устройств в аренду для сокрытия действий других злоумышленников.
¶Борьба с ботнетами
Основные методы противодействия:
- Выявление C&C-инфраструктуры — отслеживание серверов управления и их блокировка. Операции по закрытию ботнетов проводят правоохранительные органы совместно с кибербезопасными компаниями.
- Sinkholing — перенаправление трафика ботов на специальные серверы-ловушки, что позволяет идентифицировать заражённые устройства.
- Обновление ПО — своевременное закрытие уязвимостей.
- Антивирусные программы — обнаружение и удаление бот-агентов.
- Смена паролей на устройствах IoT, отключение ненужных сервисов.
В России борьбой с ботнетами занимаются подразделения МВД, ФСБ, а также НКЦКИ (Национальный координационный центр по компьютерным инцидентам). По данным Роскомнадзора, ежегодно в РФ блокируется тысячи вредоносных ресурсов, связанных с ботнетами.
¶Известные ботнеты
| Название | Год | Особенности |
|---|---|---|
| Storm Botnet | 2007 | P2P-ботнет, до 50 млн заражённых компьютеров |
| Conficker | 2009 | Заразил миллионы ПК через уязвимость Windows |
| Zeus | 2009 | Кража банковских данных, ~3,6 млн заражённых ПК |
| Mirai | 2016 | Ботнет IoT-устройств, атака на Dyn |
| Emotet | 2014 | Модульный ботнет-загрузчик, «король малвари» |
¶Правовые аспекты
В Российской Федерации создание и использование ботнетов квалифицируется по статье 272 УК РФ (неправомерный доступ к компьютерной информации), статье 273 УК РФ (создание, использование и распространение вредоносных программ) и статье 274 УК РФ (нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации). Наказание может достигать лишения свободы сроком до семи лет.
Источники:
- Касперский Лаб. Отчёты о киберугрозах
- Symantec Internet Security Threat Report
- «Computer Crime and Intellectual Property Section» — материалы DOJ
- Роскомнадзор. Отчёты о блокировках вредоносных ресурсов
- Уголовный кодекс Российской Федерации