Como funciona um botnet
O funcionamento de um botnet começa com a infecção de um dispositivo. O malware entra no sistema por meio de uma vulnerabilidade, uma página de phishing, um aplicativo infectado ou um anexo em um e-mail.
Após a instalação, o dispositivo torna-se silenciosamente um bot sem que o usuário perceba e tenta se conectar à infraestrutura de gerenciamento C&C (Command and Control). Por meio dela, o botmaster envia comandos aos nós infectados.
O ciclo típico funciona da seguinte forma:
- infecção do dispositivo;
- conexão ao C&C;
- recebimento de comandos;
- execução do ataque.
Quanto mais dispositivos infectados, maior o poder do botnet e mais difícil é distinguir o ataque do tráfego normal de usuários.
Nem todos os botnets dependem de um único servidor de gerenciamento. Alguns botnets modernos utilizam uma arquitetura P2P. Os dispositivos infectados trocam comandos entre si, de modo que desativar um nó não paralisa toda a rede.
Tipos de ataques de botnet
DDoS
O cenário mais comum: sobrecarregar servidores com um grande número de requisições. Os botnets são capazes de derrubar sites, serviços online e a infraestrutura de operadoras.
Spam e Phishing
Dispositivos infectados são usados para o envio em massa de e-mails com links e anexos maliciosos.
Se os dispositivos infectados dos assinantes começarem a enviar spam, participar de ataques DDoS ou gerar tráfego malicioso, a operadora pode restringir essa atividade com o Mini-Firewall.
Roubo de dados
Os botnets podem transmitir aos criminosos logins, senhas, dados bancários e outras informações confidenciais.
Mineração
Alguns botnets são usados para mineração oculta de criptomoedas aproveitando os recursos dos dispositivos infectados.
Como se proteger de um botnet
Atualizações regulares do sistema operacional, uso de antivírus, monitoramento da atividade de rede e filtragem de tráfego suspeito ajudam a reduzir o risco de infecção.
Na infraestrutura corporativa, sistemas IDS/IPS, segmentação de rede e monitoramento de anomalias são utilizados adicionalmente.
Como detectar atividade de botnet em uma rede de operadora, restringir fluxos maliciosos e reduzir o risco de bloqueio de endereços IP é abordado em um artigo separado.
