Cómo funciona un botnet
El funcionamiento de un botnet comienza con la infección de un dispositivo. El malware ingresa al sistema a través de una vulnerabilidad, una página de phishing, una aplicación infectada o un archivo adjunto en un correo electrónico.
Tras la instalación, el dispositivo se convierte silenciosamente en un bot sin que el usuario lo note, e intenta conectarse a la infraestructura de gestión C&C (Command and Control). A través de ella, el botmaster envía comandos a los nodos infectados.
El ciclo típico es el siguiente:
- infección del dispositivo;
- conexión al C&C;
- recepción de comandos;
- ejecución del ataque.
Cuantos más dispositivos infectados haya, mayor será la potencia del botnet y más difícil será distinguir el ataque del tráfico normal de usuarios.
No todos los botnets dependen de un único servidor de gestión. Algunos botnets modernos utilizan una arquitectura P2P. Los dispositivos infectados intercambian comandos entre sí, por lo que desactivar un nodo no detiene toda la red.
Tipos de ataques de botnet
DDoS
El escenario más común: sobrecargar servidores con una gran cantidad de solicitudes. Los botnets son capaces de derribar sitios web, servicios en línea e infraestructura de operadores.
Spam y Phishing
Los dispositivos infectados se utilizan para el envío masivo de correos electrónicos con enlaces y archivos adjuntos maliciosos.
Si los dispositivos infectados de los suscriptores comienzan a enviar spam, participar en ataques DDoS o generar tráfico malicioso, el operador puede restringir dicha actividad mediante Mini-Firewall.
Robo de datos
Los botnets pueden transmitir a los atacantes credenciales de acceso, contraseñas, datos bancarios y otra información confidencial.
Minería
Algunos botnets se utilizan para la minería encubierta de criptomonedas aprovechando los recursos de los dispositivos infectados.
Cómo protegerse de un botnet
Las actualizaciones periódicas del sistema operativo, el uso de antivirus, el monitoreo de la actividad de red y el filtrado de tráfico sospechoso ayudan a reducir el riesgo de infección.
En la infraestructura corporativa, se utilizan adicionalmente sistemas IDS/IPS, segmentación de red y monitoreo de anomalías.
Cómo detectar actividad de botnet en una red de operador, restringir flujos maliciosos y reducir el riesgo de bloqueo de direcciones IP se analiza en un artículo aparte.
