Ботнет (botnet) – комп’ютерна мережа з пристроїв, заражених шкідливою програмою. Термін складається з частин англійських слів robot (робот) і network (мережа).
Ботом у цьому контексті зазвичай називають пристрій (комп’ютер, смартфон), що під керуванням прихованої програми, яка отримує команди від свого господаря через інтернет. Ботнети застосовують для DDoS-атак, підбору паролів методом брутфорсу, майнінгу біткоїнів або інших криптовалют, поширення спаму. Ботами можуть бути і IoT-пристрої: так, саме з них складається відомий ботнет Mirai.
У зв’язку з тим, що заражений пристрій виконує будь-які інструкції зловмисника, його нерідко називають зомбі-машиною, а ботнет, відповідно, – зомбі-мережею. Проникнення шкідливих програм може статися за недостатньої пильності користувача: кіберзлочинці маскують їх під корисне ПЗ. Також бот-агент може впровадитися через вразливість будь-якого програмного забезпечення шляхом підбору пароля до мережевих ресурсів, які мають спільний доступ. В окремих випадках він встановлюється під час відкритого доступу до комп’ютера.
Шкідливі програми для організації бот-мереж самостійно запускаються на пристрої, захищаються від видалення. Механізм захисту полягає у застосуванні нетрадиційних способів запуску, заміні файлів системи, перезавантаженні машини при доступі до ключів автоматичного завантаження. Агенти мімікрірують під системні процеси, можуть використовувати два процеси, які перезапускають один одного.
Ботнет (botnet) має великі обчислювальні ресурси, приносить відчутний прибуток кіберзлочинцям. Зараженими комп’ютерними пристроями зловмисник може керувати анонімно з будь-якого місця земної кулі.
Класифікація ботнетів
Ботнети класифікуються за архітектурою та мережевими протоколами.
З погляду архітектури можна виділити ботнети з центром управління та децентралізовані. У першому випадку, всі комп’ютери об’єднані навколо одного контрольного центру (Command & Control Centre, C&C). Це — найпоширеніший різновид. Центр чекає на відгуки від ботів, фіксує їх, роздає інструкції, які визначає власник. Іноді зловмисник створює кілька центрів на випадок їх виведення з ладу або блокування. Зомбі-мережі такого типу легкі у створенні та управлінні, оперативніше реагують на команди, але й боротися з ними частково простіше, ніж з іншими типами ботнетів: достатньо домогтися знищення командного центру, і мережа розсипається. Втім, завдання може ускладнитися через міграцію центрів або шифрування трафіку.
Децентралізовані шкідливі мережі ще називають P2P-ботнетами – від англійського терміна “peer-to-peer”, що означає поєднання виду “крапка-крапка”. У таких системах бот-агенти поєднуються не з центром управління, а з певною кількістю інших заражених комп’ютерів. Отримавши команду, шкідлива програма передає її наступній машині, і так відбувається розповсюдження вказівок по всій зомбі-мережі. Таким чином, кіберзлочинець може керувати всіма інфікованими комп’ютерами через будь-який вузол ботнету. Мережа такого типу менш зручна в експлуатації, але через відсутність центру боротися з нею теж складніше.
Класифікація зомбі-мереж за протоколами пояснюється наявністю взаємодії між машиною, що подає команду, та комп’ютерами жертв. Воно будується на мережевих протоколах, що визначають порядок комунікації між вузлами. За цією ознакою ботнети поділяють на чотири групи.
До першої групи належать IRC-орієнтовані зомбі-мережі. Вони характеризуються з’єднанням кожного зараженого пристрою з IRC-сервером, переміщенням на вказаний канал та очікуванням команди власника. Другу групу становлять мережі, які використовують канали IM-служб. Необхідність створення окремого облікового запису для кожного вузла знижує популярність таких ботнетів. Третя група — веб-орієнтовані ботнети, де керування комп’ютерами здійснюється через Всесвітню павутину. Вони легко розробляються, в інтернеті багато веб-серверів, керувати ними просто; з цих причин такі шкідливі мережі мають попит. До четвертої групи слід зарахувати інші види систем із власними, нестандартними протоколами.
Об’єкт впливу
Об’єктами впливу ботнетів є державні структури та комерційні компанії, звичайні користувачі Інтернету. Кіберзлочинці застосовують боти для досягнення цілей різного змісту та величини. Наприклад, найпростіше і найпопулярніше застосування ботнетів, що приносить великий прибуток, – розсилка спаму. Не завжди цим займається сам власник зомбі: часто спамери орендують ботнет (botnet).
Ботнети застосовуються і для здійснення DDoS-атак. Атакований сервер не справляється з потоками запитів із заражених комп’ютерів і зупиняється, користувачі не можуть отримати доступ до нього. За відновлення роботи веб-ресурсу зловмисники вимагають заплатити викуп. Кібершантаж такого роду дуже поширений, оскільки сьогодні всі компанії активно використовують інтернет для ведення бізнесу, а деякі організації взагалі працюють тільки через Всесвітню мережу. Також власники або орендарі ботнетів можуть використовувати DDoS-атаки для політичних акцій чи провокацій. Об’єктами атак ботів стають урядові, державні, військові та інші організації.
Ботнети використовують у майнінгу біткоїнів. Проникаючи в комп’ютер користувача, бот-агент використовує ресурси машини в своїх цілях. Чим більше заражених пристроїв, тим більше валюти «майнить» зловмисник. Потужність графічного процесора може використовуватися під час простою комп’ютера, тому наявність шкідливої активності помічається не відразу.
Також бот-мережі використовуються для анонімного доступу до інтернету з метою злому веб-сайтів, переказу грошей. Активно використовуються вони і для крадіжки секретної інформації. Перевага зомбі-мережі перед іншими шкідливими агентами полягає у здатності збирати інформацію з величезної кількості комп’ютерів одночасно. Часто ці відомості продаються або експлуатуються для розширення ботнету.
Джерело загрози
Бот-агенти створюються зловмисниками, наприклад, з метою крадіжки. Зазвичай хакери викрадають дані доступу до тієї чи іншої системи, бажаючи отримати грошовий прибуток або будь-яку іншу особисту вигоду. Зомбі-мережами користуються представники незаконного бізнесу, просуваючи свій товар та послуги.
Найнебезпечнішою групою розробників таких програм є організовані кіберзлочинці, які застосовують заражені мережі для атак, крадіжок даних і коштів, розсилки реклами, шантажу, провокацій тощо. Крім того, вони формують ботнети для продажу та здачі в оренду.
Аналіз ризику
Статистика показує, що в складі ботнетів знаходиться величезна кількість різних комп’ютерних пристроїв. Наслідки зараження комп’ютера бот-агентом можуть змінюватись в залежності від власника ботнета та цілей, які він переслідує. Найпомітнішими діями зомбі-мережі є DDoS-атаки. Небезпека заражених мереж зростає і від того, що з кожним роком спрощується їх створення, знаходяться нові методи застосування шкідливих програм, а отже, виникають нові ботнети, розширюються існуючі.
На початку березня 2017 року дослідники виявили вразливість у системі безпеки DVR та камер спостереження китайської компанії Dahua. Це означало, що пристрої легко могли виявитися виконавцями команд зловмисників.
Незважаючи на страхітливу статистику, захистити свій комп’ютер можна. Для цього необхідно:
- користуватися ефективним антивірусним захистом,
- своєчасно оновлювати операційну систему та всі додатки,
- використовувати програму-шифрувальник при передачі особистих даних,
- дотримуватись загальних заходів розумної обережності при роботі в інтернеті.
Корисно також спостерігати за активністю пристрою. Якщо воно напружено працює під час простою або передає дуже багато даних, то можливо, що на ньому знаходиться шкідливий агент.