Botnet

Botnet (z anglického robot network) je síť zařízení, do kterých se dostal malware a která od té doby poslouchají příkazy útočníka. Jednotlivá napadená zařízení se nazývají boti nebo zombie. Mohou to být domácí počítače, servery, mobily, ale i routery, IP kamery, chytré televize či jiná zařízení internetu věcí.

Majitel si obvykle ničeho nevšimne – zařízení funguje dál, jen část jeho výkonu a připojení potichu slouží někomu jinému. Síla botnetu je v počtu: tisíce či miliony zařízení dokážou společně zahltit velký web, rozeslat obrovské množství spamu nebo zkoušet hesla na službách z mnoha IP adres najednou.

Jak botnet funguje

Po infikování se bot připojí k řídicímu serveru (command and control, C&C) a čeká na pokyny. Útočník – často nazývaný bot herder – přes tento server rozesílá příkazy všem botům najednou: na koho zaútočit, co stáhnout, jaký spam poslat. Novější botnety používají decentralizovanou strukturu peer-to-peer, kde si boti příkazy předávají mezi sebou, takže je těžší je vyřadit.

Do botnetu se zařízení dostane stejně jako u jiného malwaru: přes trojského koně v příloze nebo falešném programu, přes neopravenou zranitelnost nebo – u routerů a kamer – přes výchozí heslo, které majitel nikdy nezměnil. Botnet Mirai, který se objevil v roce 2016, takto ovládl velké množství IoT zařízení a použil je k útokům, které na čas vyřadily řadu známých webových služeb.

Botnet malware: k čemu se botnety zneužívají

Nejznámějším použitím jsou DDoS útoky, při kterých boti najednou zahltí cílový server požadavky, až přestane odpovídat. Botnety také rozesílají spam a phishingové e-maily, zkoušejí uniklé přihlašovací údaje na jiných službách (credential stuffing), klikají na reklamy kvůli falešným příjmům nebo slouží jako proxy, přes které útočníci skrývají svou skutečnou IP adresu.

Výkon napadených zařízení se zneužívá i ke skryté těžbě kryptoměn (cryptojacking) a botnety jsou často distribuční sítí pro další malware – včetně ransomwaru. Přístup k botnetu se dokonce pronajímá jako služba dalším zločincům.

Podle čeho poznáte, že je zařízení v botnetu

Příznaky bývají nenápadné: pomalejší připojení, router nebo počítač vytížený i v klidu, neobvykle vysoký odchozí přenos dat, zahřívání zařízení či rychlejší vybíjení baterie. Někdy upozorní poskytovatel internetu, že z vaší IP adresy odchází spam nebo útoky.

Dalším signálem je, když se vaše IP adresa objeví na seznamech blokovaných adres, služby po vás začnou chtít časté ověření „nejsem robot“ nebo vám přestanou doručovat e-maily. U routerů a kamer je dobré projít seznam připojených zařízení a nastavení, která jste neměnili.

Jak se chránit

Na routerech, kamerách a dalších zařízeních ihned změňte výchozí hesla, vypněte vzdálenou správu z internetu, pokud ji nepotřebujete, a pravidelně instalujte aktualizace firmwaru. Zařízení, která už výrobce nepodporuje, je rozumné vyměnit. Podrobnosti najdete v hesle zabezpečení zařízení a Wi-Fi.

Na počítačích a mobilech platí běžné zásady ochrany před malwarem: aktualizace, programy jen z důvěryhodných zdrojů, opatrnost u příloh a bezpečnostní program (viz kategorie Antiviry). Máte-li podezření, že je zařízení součástí botnetu, odpojte ho od sítě, prověřte nebo obnovte do továrního nastavení a změňte hesla.

Časté dotazy

Co znamená botnet malware?

Jde o škodlivý program, který z napadeného zařízení udělá bota – součást sítě ovládané útočníkem. Na rozdíl od ransomwaru se neprojevuje nápadně, protože útočník potřebuje, aby zařízení zůstalo zapnuté a připojené co nejdéle.

Může být i můj router součástí botnetu?

Ano, routery a IP kamery patří k nejčastějším cílům, protože bývají trvale zapnuté, mají slabá nebo výchozí hesla a málokdo je aktualizuje. Změna hesla, vypnutí vzdálené správy a aktualizace firmwaru riziko výrazně sníží.

Je nelegální být součástí botnetu?

Majitel napadeného zařízení je obětí, ne pachatelem. Pokud se ale o infekci dozví, měl by ji odstranit, protože jeho zařízení poškozuje ostatní. Trestně odpovědný je ten, kdo botnet vytvořil a ovládá.

Jak policie botnety ruší?

Obvykle v mezinárodní spolupráci zajistí řídicí servery, převezme kontrolu nad doménami, přes které boti komunikují, a v některých případech rozešle botům příkaz, který malware vypne. Napadená zařízení je ale často potřeba vyčistit i tak.