Ботнет — це мережа пристроїв, якими зловмисник керує без відома їхніх власників. За його командою вони можуть одночасно надсилати трафік на сайт і перевантажити його. Так ботнет використовують для DDoS-атак.
Для компанії це призводить до втрати замовлень і витрат на відновлення роботи. При цьому пристрої, з яких надходить трафік, зазвичай належать стороннім людям та організаціям, а їхні власники можуть навіть не знати про зараження.
У цій статті детально розберемо, що таке ботнет, як хакери отримують доступ до чужих пристроїв і як атакують за допомогою них сайти.
Що таке ботнет
Ботнет — це мережа пристроїв, заражених шкідливим програмним забезпеченням і об'єднаних під контролем однієї або групи людей.
Кожен окремий заражений пристрій називають «ботом». Керування ним відбувається через командно-контрольний сервер (Command & Control, скорочено C&C) — інфраструктуру, яку контролює зловмисник і через яку він розсилає інструкції всім зараженим пристроям одночасно.
При цьому власник пристрою зазвичай навіть не підозрює, що його роутер, камера відеоспостереження чи смартфон виконує чужі команди у фоновому режимі.
Частина сучасних ботнетів працює за одноранговою (peer-to-peer) моделлю: команди передаються від бота до бота без єдиного центрального сервера.
Це ускладнює виявлення й нейтралізацію мережі, бо навіть якщо частину ботів заблокувати, решта продовжує працювати.
Як зловмисники заражають пристрої та додають їх до ботнету
«Заразити» пристрій найпростіше через вразливості, про які власники часто навіть не підозрюють і не дбають про їх усунення. Існує кілька найпопулярніших з них.
- Заводські паролі. Багато IoT-пристроїв — роутерів, камер, відеореєстраторів, розумних розеток — постачаються з однаковим логіном і паролем на весь модельний ряд. Якщо власник їх не змінив, зловмиснику достатньо перебрати відомий список стандартних комбінацій.
- Відкриті порти для віддаленого доступу. Протоколи на кшталт Telnet чи SSH, залишені відкритими назовні без потреби, дають прямий шлях до пристрою.
- Незакриті вразливості в прошивці. Виробники бюджетної електроніки не завжди випускають оновлення безпеки, тому знайдена вразливість може залишатися експлуатованою роками.
- Заражені файли та посилання. Для комп'ютерів і смартфонів класичний шлях — шкідливе вкладення, підроблений застосунок або скомпрометований сайт.
Показовий приклад — ботнет Mirai, який у 2016 році шукав в інтернеті IoT-пристрої із заводськими обліковими даними та автоматично «заражав» їх. Коли вихідний код Mirai опинився у відкритому доступі, будь-хто зміг розгорнути власну версію ботнету. Тож принцип атаки поширився далеко за межі оригінальної мережі.
Як ботнет атакує сайт
Найпоширеніший спосіб використання ботнету — DDoS-атака (Distributed Denial of Service, розподілена атака на відмову в обслуговуванні).
Зловмисник дає команду всім ботам одночасно надсилати запити на один і той самий сайт, сервер або мережеву інфраструктуру. Звичайні користувачі «потопають» в цьому потоці, ресурси сервера вичерпуються, і сайт стає недоступним.
Атаки різняться за тим, на якому рівні вони «б'ють» по інфраструктурі.
- Обʼємні атаки (volumetric). Мета — забити весь доступний канал зайвим трафіком, вимірюваним у гігабітах чи навіть терабітах за секунду. Тут головний показник — кількість «сміттєвого» трафіку.
- Атаки на протоколи. Ціль — вичерпати ресурси мережевого обладнання (файрволів, балансувальників навантаження) через некоректні або надлишкові запити на рівні протоколів передачі даних.
- Атаки на рівень застосунку (application layer). Найскладніші для виявлення, бо запити виглядають як звичайні дії користувача. Наприклад, масові звернення до сторінки пошуку чи форми входу, які виснажують серверну логіку.
Ботнети також використовують для розсилки спаму, підбору паролів методом перебору та крадіжки персональних даних. Проте саме DDoS-атаки найчастіше зачіпають бізнес, який залежить від безперервної роботи сайту чи онлайн-сервісу.
Масштаб проблеми на практиці
Атака на компанію Dyn у жовтні 2016 року лишається класичним прикладом того, наскільки далекосяжним може бути ефект.
Ботнет Mirai, зібраний із заражених камер спостереження та відеореєстраторів, спрямував на DNS-провайдера Dyn трафік потужністю понад 1,2 терабіта за секунду.
Через те що Dyn обслуговував DNS-запити для великої кількості популярних сервісів, на кілька годин стали недоступні Twitter, Netflix, Reddit, GitHub, Amazon та десятки інших сайтів — і жоден з них не був атакований напряму.
Місяцем раніше той самий ботнет атакував сайт дослідника безпеки Браяна Кребса трафіком понад 620 гігабітів за секунду, змусивши його на кілька днів відключити сайт до підключення додаткового захисту.
З того часу масштаб таких мереж лише зростає. Цьому сприяє збільшення кількості пристроїв, підключених до інтернету, а особливо те, що частина з них — дешева електроніка, IoT-гаджети, застарілі роутери — залишається незахищеною роками.
За оцінками фахівців з кібербезпеки, до сучасних ботнетів дедалі частіше входять не лише персональні пристрої, а й орендовані сервери та хмарна інфраструктура компаній.
Такий сервер має набагато більше обчислювальної потужності й пропускної спроможності каналу, ніж звичайний роутер чи камера. Тому для потужної атаки зловмиснику вистачає значно меншої кількості заражених машин.
Як захистити пристрої від потрапляння в ботнет
Роутер, камера відеоспостереження чи відеореєстратор можуть працювати у звичайному режимі, але водночас виконувати чужі команди у фоновому режимі. Тому перевіряти варто не лише комп’ютери, а й усі пристрої з доступом до інтернету.
Почніть із заводських паролів: замініть їх на унікальні для кожного пристрою. Перевірте, чи доступні оновлення прошивки, і вимкніть віддалений доступ через інтернет там, де він не потрібен. Якщо доступ необхідний, обмежте коло тих, хто може ним користуватися. Пристрої, для яких виробник більше не випускає оновлень безпеки, варто замінити або ізолювати від основної мережі.
Зверніть увагу й на незвичну поведінку. Наприклад, якщо пристрій без причини перезавантажується, працює повільніше або створює трафік у час, коли ним ніхто не користується. Це не обов’язково є ознакою зараження, але є приводом перевірити його налаштування та мережеву активність.
Як розпізнати DDoS-атаку та захистити сайт
Ознаками можливої DDoS-атаки є різкий стрибок трафіку, уповільнення сайту або його недоступність. В такому випадку варто перевірити, звідки надходять запити та до яких сторінок вони звертаються.
Наприклад, велика кількість однотипних звернень до форми входу чи пошуку може створити навантаження навіть без значного зростання загального обсягу трафіку.
Самих цих ознак недостатньо для висновку. Схожу картину іноді дають рекламна кампанія, згадка компанії в новинах або технічний збій. Тому важливо зіставити дані про трафік із журналами сервера та станом самого сайту.
Захист власних пристроїв від зараження не убезпечує сайт від DDoS-атаки, адже зловмисник може використати ботнет із пристроїв сторонніх людей.
Для протидії атаці потрібна фільтрація шкідливого трафіку до того, як він перевантажить канал чи сервер. Якщо сайт критичний для продажів або обслуговування клієнтів, умови підключення такого захисту краще з’ясувати заздалегідь.
Послуга захисту від DDoS-атак GigaTrans передбачає цілодобовий моніторинг трафіку та його очищення. Рішення розраховане на атаки потужністю до 100 Гбіт/с і охоплює як спроби перевантажити канал, так і атаки на сервіси HTTP, DNS та VoIP.
Висновок
Ботнет перетворює тисячі непримітних пристроїв на інструмент, здатний «покласти» майже будь-який сайт чи сервіс.
Масштаб таких атак продовжує зростати, тому бізнесу варто заздалегідь підготувати захист сайту від DDoS-атак, щоб зберегти доступність сервісу, коли атака вже спрямована на нього.
