Jego botami mogą być urządzenia osobiste, serwery, routery, kamery, obciążenia chmurowe lub inny sprzęt sieciowy — często bez wiedzy właścicieli. Wspólny mechanizm command and control odróżnia złośliwy botnet od zwykłych obliczeń rozproszonych.
Kontrola może być scentralizowana, hierarchiczna, peer-to-peer lub rozproszona przez legalne usługi online. Operatorzy mogą zmieniać infrastrukturę i wydawać różne zadania w czasie, w tym rozproszone ataki odmowy usługi, spam, nadużycia poświadczeń, proxy, oszustwa, zbieranie danych lub dostarczanie złośliwego oprogramowania. Jedna rodzina złośliwego oprogramowania może wspierać kilka osobno operowanych botnetów.
Najważniejsze punkty
FormowanieUrządzenia mogą być rekrutowane przez usługi możliwe do wykorzystania, słabe lub ponownie użyte poświadczenia, złośliwe oprogramowanie, kompromitację łańcucha dostaw albo nieautoryzowane konta chmurowe i hostingowe.
DowodyPowtarzające się połączenia zwrotne (callbacks), zsynchronizowane działania, znane protokoły kontroli, nieoczekiwany ruch peer-to-peer, zmiany konfiguracji, skanowanie, spam lub ruch atakujący mogą wspierać identyfikację, gdy są skorelowane z dowodami z hosta.
Zakłócanie i odtwarzanieBlokowanie lub sinkholing infrastruktury kontroli może zredukować aktywność, ale właściciele nadal muszą usunąć złośliwy dostęp, naprawić ścieżkę wejścia, rotować eksponowane poświadczenia i przywrócić zaufaną konfigurację.
Istotne ograniczeniePodejrzany adres, skok ruchu czy dopasowanie informacji o zagrożeniach nie dowodzi, że urządzenie pozostaje aktywnym botem. Adresy współdzielone, przypisana na nowo infrastruktura, nieaktualne listy oraz sfałszowany lub odbity ruch utrudniają atrybucję i liczenie.