Jeho boty mohou být osobní zařízení, servery, routery, kamery, cloudové úlohy nebo jiné síťové vybavení, často bez vědomí jejich vlastníků. Sdílený mechanismus command-and-control odlišuje škodlivý botnet od běžného distribuovaného výpočtu.
Řízení může být centralizované, hierarchické, peer-to-peer nebo distribuované přes legitimní online služby. Operátoři mohou infrastrukturu měnit a v čase vydávat různé úkoly, včetně útoků distributed denial-of-service, spamu, zneužití přihlašovacích údajů, proxying, podvodů, sběru dat nebo doručování malwaru. Jedna rodina malwaru může podporovat několik odděleně provozovaných botnetů.
Klíčové body
FormováníZařízení mohou být rekrutována přes zneužitelné služby, slabá či znovu použitá hesla, škodlivý software, kompromitaci dodavatelského řetězce nebo neautorizované cloudové a hostingové účty.
DůkazyOpakované volby zpět na řídicí infrastrukturu, synchronizované akce, známé řídicí protokoly, neočekávaný peer provoz, změny konfigurace, skenování, spam nebo útočný provoz mohou podpořit identifikaci při korelaci s hostitelskými důkazy.
Narušení a obnovaBlokování nebo sinkholing řídicí infrastruktury může aktivitu snížit, ale vlastníci stále potřebují odstranit škodlivý přístup, remedovat vstupní cestu, rotovat exponované přihlašovací údaje a obnovit důvěryhodnou konfiguraci.
Důležité omezeníPodezřelá adresa, špička provozu nebo shoda s informacemi o hrozbách nedokazuje, že zařízení zůstává aktivním botem. Sdílené adresy, přeobsazená infrastruktura, zastaralé seznamy a spoofed či reflektovaný provoz komplikují atribuci a počítání.