botnet

Botnet to sieć przejętych urządzeń sterowanych zdalnie przez jednego operatora i używanych zbiorowo, na przykład do ataków DDoS, rozsyłania spamu albo kradzieży danych. MITRE ATT&CK opisuje botnet jako sieć skompromitowanych systemów, którym można zlecać skoordynowane zadania ^[1]. Glosariusz NIST, za materiałami firmy Kaspersky, wyjaśnia, że przestępcy przejmują kontrolę nad wieloma komputerami za pomocą trojanów i łączą je w sieć „botów” zarządzanych zdalnie ^[2]. Nazwa powstała z połączenia słów „robot” i „network” ^[2].

Jak działa

Botnet ma dwie części: zainfekowane urządzenia, zwane botami, oraz infrastrukturę, która wydaje im polecenia. Tę drugą nazywa się C2 (command and control). CERT Polska w systemie n6 wyodrębnia osobną kategorię zdarzeń: serwery zarządzające botnetami ^[3]. Bot po infekcji łączy się z serwerem C2, czeka na polecenia, wykonuje je i odsyła wyniki. Operator może w ten sposób jednocześnie uruchomić tysiące maszyn.

RYS. 1Życie botnetu

MITRE zauważa, że przestępcy mogą kupić dostęp do gotowego botnetu, zbudować własny przez przejmowanie kolejnych systemów albo przejąć cudzy, przekierowując boty do własnych serwerów C2 ^[1]. Botnet służy potem do dalszych działań, takich jak masowe kampanie phishingowe i ataki odmowy usługi ^[1].

Zastosowania

Botnet nie jest jednym rodzajem złośliwego oprogramowania (malware), lecz sposobem jego użycia. Botem może stać się komputer z koniem trojańskim, router z domyślnym hasłem albo serwer WWW z webshellem.

W WordPressie

Strona WordPress spotyka botnety w trzech rolach. Po pierwsze jako cel. Dokumentacja WordPressa zaznacza, że próby zgadywania haseł są zautomatyzowane i często rozproszone przez botnety, więc nawet nieudane ataki mogą przeciążyć stronę żądaniami ^[6]. Ochrona na poziomie wtyczki działa wciąż w PHP i zużywa zasoby serwera, dlatego dokumentacja stawia na pierwszym miejscu blokowanie ruchu na brzegu, w WAF lub u dostawcy, zanim dotrze do serwera ^[6]. Wśród dalszych środków wymienia rate limiting na serwerze WWW, ograniczenie dostępu do strony logowania po adresach IP, CAPTCHA, logowanie dwuskładnikowe i ograniczenia XML-RPC ^[6].

Po drugie jako narzędzie ataku bez infekcji. W marcu 2014 roku Niebezpiecznik opisał atak DDoS, w którym udział wzięło 76 773 unikatowych blogów WordPress, w tym 39 z Polski ^[7]. Blogi nie były zainfekowane: atakujący wysyłał do interfejsu XML-RPC żądania pingback, a każdy blog sam kierował ruch do ofiary ^[7]. Serwis ofiary początkowo chronił reverse proxy dostawcy CloudFlare, a część adresów z chmury Amazon AWS trzeba było potem zablokować ręcznie ^[7]. Właściciel bloga nie musiał więc zaniedbać niczego poza domyślną konfiguracją, by jego strona wzięła udział w ataku. Z punktu widzenia ofiary efekt przypominał botnet, choć technicznie było to nadużycie funkcji, podobne do amplifikacji.

Po trzecie jako węzeł. Przejęta strona z webshellem albo tylną furtką może wykonywać polecenia operatora tak jak każdy inny bot.

Zagrożenia i skutki

Dla ofiary ataku DDoS skutkiem jest niedostępność usługi. Według CISA atak botnetu Mirai na serwis KrebsOnSecurity przekroczył 620 Gb/s, a atak na hostingodawcę OVH wyniósł od 1,1 do 1,5 Tb/s ^[5]. Dla właściciela zainfekowanego urządzenia skutkiem jest utrata kontroli nad sprzętem i udział w cudzych przestępstwach. Na stronie WordPress rozproszone próby logowania obciążają serwer, nawet gdy żadne hasło nie zostanie odgadnięte ^[6]. Skala bywa duża: w jednym z opisanych przez CISA incydentów przejętych było ponad 380 000 urządzeń, a konkurencyjny botnet Bashlite szacowano na około milion ^[5].

Jak się bronić

• Nie zostać botem. CISA zaleca zmianę wszystkich domyślnych haseł na silne, wyłączenie UPnP, jeśli nie jest potrzebne, i niezwłoczne instalowanie poprawek ^[5]. Zainfekowane urządzenie należy uruchomić ponownie po odłączeniu od sieci, bo Mirai działa w pamięci operacyjnej ^[5].
• Wykrywać infekcję. Operatorzy sieci mogą otrzymywać z systemu n6 informacje o infekcjach i serwerach C2 w swojej adresacji; zdarzenia dotyczące C2 i phishingu dostają wszyscy uczestnicy ^[3]. Usługa jest przeznaczona dla organizacji z własną siecią i stałą adresacją publiczną ^[3].
• Odciąć C2. Przejęcie domen serwerów dowodzenia i skierowanie ich do sinkhole odcina boty od operatora ^[4].
• Chronić logowanie na stronie WordPress warstwowo, od brzegu sieci po uwierzytelnianie dwuskładnikowe ^[6].

Historia i przykłady

Virut. W styczniu 2013 roku NASK przejął 23 polskie domeny używane przez botnet Virut, opisywany jako dzieło polskich programistów ^[4]. Virut służył do rozsyłania spamu, kradzieży danych i ataków DDoS, a jego serwery dowodzenia działały w Polsce ^[4]. Przejęte domeny skierowano na adres kontrolowany przez NASK ^[4]. Wcześniejsze szacunki mówiły o około 300 000 zainfekowanych maszyn, a obserwacja ruchu przekierowanego do sinkhole'a wykazała około 890 tysięcy unikalnych adresów IP zainfekowanych użytkowników ^[4]. Według Niebezpiecznika był to pierwszy przypadek, w którym NASK siłowo odebrał domenę jej właścicielowi ^[4].

Mirai. CISA 14 października 2016 roku ostrzegła przed botnetem Mirai, który przejmował urządzenia internetu rzeczy, takie jak domowe routery, kamery sieciowe i rejestratory wideo ^[5]. Do infekcji wystarczała lista 62 popularnych domyślnych par login i hasło ^[5]. Kod źródłowy Mirai został opublikowany w internecie, co według CISA zwiększyło zagrożenie ^[5]; zob. bezpieczeństwo IoT (internetu rzeczy).