Definición:
Una botnet es una red de dispositivos conectados que han sido comprometidos y puestos bajo un sistema de control para ejecutar acciones coordinadas. Cada dispositivo controlado se denomina bot o zombi y puede ser un ordenador, servidor, teléfono, router, cámara u otro equipo conectado.
El operador dirige la red mediante una infraestructura de mando y control. Los propietarios de los dispositivos suelen desconocer que sus equipos participan en ella. Una botnet no es cualquier conjunto de bots: en ciberseguridad, el término describe una red controlada normalmente sin autorización para realizar actividades maliciosas o abusivas.
Cómo funciona una botnet
La creación y operación de una botnet suele seguir tres etapas:
- Reclutamiento: El atacante compromete dispositivos mediante vulnerabilidades, credenciales débiles o predeterminadas, archivos maliciosos, phishing u otras técnicas. El malware instalado permite mantener el acceso o ejecutar órdenes.
- Mando y control: Los dispositivos se comunican con servidores controlados por el operador o con otros nodos de una arquitectura distribuida. Desde esa infraestructura reciben instrucciones, configuraciones y actualizaciones.
- Ejecución: Los nodos realizan la tarea ordenada, comunican resultados y pueden cambiar de objetivo. El operador puede activar solo una parte de la red o coordinarla completa según la campaña.
Una arquitectura centralizada depende de uno o varios servidores de mando y control. Una arquitectura entre pares distribuye las comunicaciones y puede dificultar que la red quede inoperativa al bloquear un único punto. El glosario de ciberseguridad del NIST reúne definiciones de referencia sobre este concepto.
Un bot puede ser legítimo y ejecutar una automatización autorizada. En una botnet, en cambio, los nodos actúan de forma coordinada bajo el control de un tercero. Los dispositivos comprometidos también son víctimas: formar parte de la red no implica que su propietario participe voluntariamente en el ataque.
Usos de las botnets
Una misma botnet puede emplearse para varias actividades y cambiar de función mediante nuevas instrucciones:
- Ataques distribuidos de denegación de servicio: Numerosos dispositivos envían tráfico o solicitudes contra un objetivo para degradar o interrumpir su disponibilidad.
- Spam y distribución de malware: La red puede enviar spam, propagar enlaces maliciosos, entregar archivos o ayudar a comprometer nuevos equipos.
- Robo de datos y fraude: Algunos nodos capturan credenciales, sesiones o información, realizan intentos automatizados de acceso o intervienen en operaciones fraudulentas.
- Explotación de recursos: La capacidad de proceso, la conexión o la dirección IP del dispositivo pueden utilizarse para criptominería no autorizada, fraude publicitario, tráfico proxy o reventa de acceso.
Las botnets también pueden alquilarse o dividirse entre distintas campañas. El daño no se limita al objetivo de la actividad: los dispositivos reclutados consumen recursos, exponen datos y pueden servir como punto de acceso a otras redes.
Detección de una botnet
La detección combina señales del dispositivo, la red y los servicios externos:
- Comunicaciones anómalas: Conexiones periódicas a destinos desconocidos, consultas DNS inusuales, tráfico saliente inesperado o contactos con infraestructura identificada como maliciosa.
- Cambios en el dispositivo: Procesos o servicios desconocidos, consumo sostenido de recursos, modificaciones de seguridad, fallos de actualización o actividad cuando el equipo debería estar inactivo.
- Indicadores externos: Alertas del proveedor, mala reputación de una dirección IP, mensajes no autorizados, accesos extraños o avisos de que el dispositivo participa en tráfico abusivo.
Estos indicios no demuestran por sí solos que exista una infección. La lentitud, el funcionamiento del ventilador o una ventana emergente también pueden tener otras causas. La confirmación requiere correlacionar registros, procesos, conexiones, eventos de seguridad e indicadores de amenaza.
La detección cambia cuando una organización es el objetivo de la botnet y no el propietario de un nodo comprometido. En ese caso se analizan patrones de tráfico distribuido, frecuencia de solicitudes, comportamiento de clientes y efectos sobre la disponibilidad del servicio.
Respuesta y prevención
La respuesta depende de si se administra un dispositivo comprometido o un servicio atacado:
- Dispositivo comprometido: Conviene aislarlo de la red, identificar el mecanismo de acceso, revocar sesiones y credenciales desde un equipo limpio, eliminar el malware o reinstalar el sistema, corregir la vulnerabilidad y comprobar que no reaparecen las comunicaciones maliciosas.
- Red o servicio afectado: Pueden aplicarse filtrado, límites de frecuencia, bloqueo de indicadores, segmentación y servicios de mitigación de DDoS. La coordinación con el proveedor de conectividad, el alojamiento o los equipos de respuesta resulta necesaria cuando la actividad supera la capacidad propia.
La prevención combina inventario de activos, actualizaciones, eliminación de credenciales predeterminadas, autenticación reforzada, segmentación y supervisión del tráfico saliente. Un firewall puede bloquear determinadas comunicaciones, pero no sustituye la corrección de vulnerabilidades ni la revisión de dispositivos que ya han sido comprometidos.