Botnet

Et botnet er et netværk af internetforbundne enheder – for eksempel computere, routere, servere og andre smarte enheder – der er blevet inficeret med malware og derefter fjernstyres samlet af en angriber, ofte kaldet en botmaster eller bot-herder. Hver inficeret enhed kaldes en bot eller en “zombie” og udfører kommandoer fra angriberen, typisk uden at ejeren ved det. Ved at samle regnekraft og netværkskapacitet fra mange tusinde enheder på samme tid kan angriberen opnå en styrke, som en enkelt maskine aldrig ville kunne levere alene.

Et kendt eksempel er Mirai-botnettet, der udnyttede, at mange routere, ip-kameraer og andre IoT-enheder stadig kørte med fabriksindstillede adgangskoder. Malwaren scannede internettet for den slags sårbare enheder, inficerede dem og samlede dem i et botnet, som senere blev brugt til at sende enorme mængder trafik mod udvalgte mål. Episoden illustrerer, hvordan helt almindeligt husholdningsudstyr kan blive en ubemærket del af et angreb, uden at ejeren nogensinde bemærker andet end en anelse langsommere internetforbindelse.

Sådan bliver en enhed en del af et botnet

Vejen ind i en enhed går som regel gennem malware, der bliver installeret uden brugerens vidende. De mest almindelige metoder er phishing-mails med ondsindede vedhæftede filer eller links, udnyttelse af uopdaterede sikkerhedshuller i styresystemer og programmer, samt trojanske heste, der udgiver sig for at være legitim software. Enheder kan også blive inficeret ved blot at besøge en kompromitteret hjemmeside (såkaldt drive-by download).

IoT-enheder som routere, webcams og andre net-tilsluttede apparater er ofte blandt de nemmeste mål, fordi de sjældent opdateres og i visse tilfælde stadig bruger standard-adgangskoder fra fabrikken. Selv et almindeligt modem eller en router, der fungerer som hjemmets adgang til internettet, kan derfor ubemærket ende som en del af et botnet, hvis firmwaren ikke holdes opdateret. Når en enhed først er inficeret, forsøger noget malware desuden at sprede sig videre til andre enheder på samme netværk for at udvide botnettets rækkevidde.

Command-and-control: sådan styres et botnet

Efter infektionen skal den inficerede enhed “melde sig til tjeneste” hos angriberens command-and-control-server (C&C). Det er herfra botmasteren udsender kommandoer til alle bots samtidig. Der findes overordnet to måder at organisere styringen på: en centraliseret model, hvor alle bots forbinder til én central C&C-server, og en decentraliseret peer-to-peer-model, hvor botsene i stedet kommunikerer indbyrdes og videresender kommandoer til hinanden.

Den centrale model er relativt enkel at bygge, men har en svaghed: bliver serveren fundet og lukket, mister angriberen kontrollen over hele botnettet på én gang. Peer-to-peer-modellen er til gengæld langt mere modstandsdygtig, fordi der ikke findes ét enkelt punkt, der kan lukkes ned. Fordi bots kan være spredt over hele kloden og kommunikere på tværs af et vidt geografisk område – i praksis et globalt WAN (Wide Area Network) – kan det være vanskeligt for både myndigheder og sikkerhedsforskere at spore og afmontere et helt botnet.

Hvad bruges et botnet til

Et botnet er i sig selv bare et redskab, men det bliver oftest forbundet med kriminel udnyttelse. Blandt de mest udbredte anvendelser er:

• DDoS-angreb: Tusindvis af bots sender samtidig trafik mod ét mål, så servere eller tjenester bliver overbelastede og utilgængelige for almindelige brugere. Dette er den mest kendte og udbredte brug af botnet.
• Spam og phishing: Botnettet kan sende enorme mængder spam- eller phishing-mails, ofte med det formål at sprede endnu mere malware eller franarre brugere loginoplysninger.
• Tyveri af data: Malwaren på en bot kan søge efter og stjæle følsomme oplysninger som adgangskoder, finansielle data og virksomhedshemmeligheder.
• Cryptojacking: Angriberen udnytter den samlede regnekraft fra alle bots til at mine kryptovaluta, hvilket typisk gør de inficerede enheder mærkbart langsommere.
• Klik-svindel (ad fraud): Bots kan blive dirigeret til automatisk at klikke på annoncer og dermed generere falsk indtjening for angriberen.

Fordi et botnet kan rette enorme mængder trafik mod et enkelt mål på samme tid, vælger mange virksomheder at beskytte deres tjenester med et CDN (Content Delivery Network), der kan sprede og til dels absorbere den indkommende trafik, så et enkelt overbelastet mål i højere grad undgås.

Kendte eksempler på botnet-angreb

Mirai-botnettet fra 2016 er et af de mest omtalte eksempler. Det inficerede et stort antal sårbare IoT-enheder, der kørte Linux, og brugte dem til at oversvømme flere store mål med trafik – heriblandt DNS-udbyderen Dyn, hvis nedetid ramte adgangen til en lang række populære internettjenester. Angrebet viste, hvor stor skade et botnet bygget udelukkende på svagt sikrede hjemmeenheder kan forårsage, når det rettes mod kritisk internetinfrastruktur.

Sådan kan du beskytte dig mod botnet

Der findes ingen enkelt løsning, der alene kan forhindre, at en enhed bliver inficeret, men en kombination af flere tiltag reducerer risikoen mærkbart:

• Hold styresystemer, apps og især firmware på routere og IoT-enheder løbende opdateret.
• Skift standard-adgangskoder på routere, kameraer og andet netværksudstyr til stærke, unikke koder.
• Brug multifaktorgodkendelse, hvor det er muligt, så stjålne loginoplysninger alene ikke giver adgang.
• Vær opmærksom på tegn som uforklarlig træghed, høj processorbelastning eller usædvanlig netværkstrafik – det kan indikere, at en enhed allerede er inficeret.
• Isoler mistænkte enheder fra netværket hurtigst muligt, og kør en grundig malware-scanning, hvis der er mistanke om infektion.

Ingen af disse tiltag garanterer fuld beskyttelse alene, men de bidrager tilsammen til at gøre det markant sværere for et botnet at få fodfæste og sprede sig videre.