بات نت (Botnet) چیست؟

بات‌نت شبکه‌ای از رایانه‌های آلوده به بدافزار است که توسط یک bot herder (مهاجم) کنترل می‌شود.

bot herder شخصی است که زیرساخت بات‌نت را اداره می‌کند و از رایانه‌های در معرض خطر برای راه‌اندازی حملاتی استفاده می‌کند که برای از کار انداختن شبکه هدف، تزریق بدافزار، جمع‌آوری اعتبارنامه‌ها یا اجرای وظایف فشرده (درگیر کردن) CPU طراحی شده‌اند. هر دستگاه در شبکه بات نت، bot نامیده می شود.

چگونه بات نت ها کنترل می شوند؟

bot herder، بات‌نت‌های خود را از طریق یکی از این دو ساختار کنترل می‌کنند:

یک مدل متمرکز با ارتباط مستقیم بین bot herder و هر رایانه

و یا یک سیستم غیرمتمرکز با چندین پیوند بین تمام دستگاه‌های بات‌نت آلوده.

مدل متمرکز، Client-Server

اولین نسل بات نت ها بر اساس معماری client-server کار می کردند، جایی که یک سرور فرمان و کنترل (C&C) کل بات نت را اداره می کند. بدلیل سادگی، عیب استفاده از یک مدل متمرکز نسبت به مدل P2P این است که مستعد ابتلا به یک نقطه خرابی است.

دو کانال ارتباطی رایج C&C عبارتند از IRC و HTTP:

بات نت IRC (Internet Relay Chat)

بات‌نت‌های IRC یکی از قدیمی‌ترین انواع بات‌نت هستند و از راه دور با یک سرور و کانال IRC از پیش تنظیم‌شده کنترل می‌شوند. ربات ها به سرور IRC متصل می شوند و منتظر دستورات bot herder هستند.

بات نت  HTTP

بات نت HTTP یک بات نت مبتنی بر وب است که از طریق آن بات نت از پروتکل HTTP برای ارسال دستورات استفاده می کند. ربات ها به صورت دوره ای از سرور بازدید می کنند تا به روز رسانی ها و دستورات جدید را دریافت کنند. استفاده از پروتکل HTTP به herder اجازه می‌دهد تا فعالیت‌های خود را به عنوان ترافیک عادی وب پنهان کند.

مدل غیرمتمرکز، همتا به همتا Peer-to-Peer

نسل جدید بات‌نت‌ها همتا به همتا هستند که ربات‌ها دستورات و اطلاعات را با یکدیگر به اشتراک می‌گذارند و مستقیماً با سرور C&C در تماس نیستند.

پیاده‌سازی بات‌نت‌های P2P سخت‌تر از بات‌نت‌های IRC یا HTTP هستند، اما همچنین انعطاف‌پذیرتر هستند زیرا به یک سرور متمرکز متکی نیستند. در عوض، هر ربات به‌طور مستقل هم به‌عنوان مشتری و هم به‌عنوان سرور کار می‌کند و اطلاعات را به‌صورت هماهنگ بین دستگاه‌های بات‌نت به‌روزرسانی و به اشتراک می‌گذارد.

یک بات نت چگونه کار می کند؟

مراحل ایجاد یک بات نت :

1-در معرض قرار گرفتن آلودگی

2-آلوده شدن سیستم ها و رشد آلودگی

3-فعالیت بانت نت

در مرحله 1، هکر آسیب پذیری را در یک وب سایت، برنامه یا رفتار کاربر پیدا می کند تا کاربران را در معرض بدافزار قرار دهد. یک bot herder قصد دارد کاربران از قرار گرفتن در معرض و در نهایت آلوده شدن به بدافزار خود بی‌اطلاع بمانند. آنها ممکن است از مسائل امنیتی در نرم‌افزار یا وب‌سایت‌ها سوء استفاده کنند تا بتوانند بدافزار را از طریق ایمیل، بارگیری‌های درایو یا بارگیری‌های اسب تروجان تحویل دهند.

در مرحله 2، دستگاه های قربانیان به بدافزار آلوده می شوند که می تواند کنترل دستگاه های آنها را در دست بگیرد. آلودگی اولیه بدافزار به هکرها اجازه می‌دهد تا با استفاده از تکنیک‌هایی مانند دانلودهای وب، کیت‌های بهره‌برداری، تبلیغات بازشو و پیوست‌های ایمیل، دستگاه‌های زامبی ایجاد کنند. اگر یک بات نت متمرکز باشد، هردر دستگاه آلوده را به یک سرور C&C هدایت می کند. اگر یک بات نت P2P باشد، انتشار همتا آغاز می شود و دستگاه های زامبی به دنبال اتصال با سایر دستگاه های آلوده هستند.

در مرحله 3، زمانی که bot herder به مقدار کافی از ربات‌ها را آلوده کرد، سپس می‌تواند حملات خود را بسیج کند. سپس دستگاه های زامبی آخرین به روز رسانی را از کانال C&C دانلود می کنند تا سفارش آن را دریافت کنند. سپس ربات به دستورات خود ادامه می دهد و درگیر فعالیت های مخرب می شود. bot herder می‌تواند به مدیریت از راه دور و رشد بات‌نت خود برای انجام فعالیت‌های مخرب مختلف ادامه دهد. بات‌نت‌ها افراد خاصی را هدف قرار نمی‌دهند، زیرا هدف ربات‌ها آلوده کردن هرچه بیشتر دستگاه‌ها است تا بتوانند حملات مخرب را انجام دهند.

انواع حملات بات نت

هنگامی که یک دشمن کنترل یک بات نت را در دست دارد، احتمالات مخرب گسترده است. یک بات نت می تواند برای انجام انواع مختلفی از حملات استفاده شود، از جمله:

1. فیشینگ

از بات‌نت‌ها می‌توان برای توزیع بدافزار از طریق ایمیل‌های فیشینگ استفاده کرد.

2. حملهDDoS

در طول یک حمله DDoS، بات‌نت تعداد زیادی درخواست را به یک سرور یا برنامه مورد نظر ارسال می‌کند و باعث از کار افتادن آن می‌شود. حملات DDoS لایه شبکه از سیل‌های SYN، سیل‌های UDP، تقویت DNS و سایر تکنیک‌های طراحی شده برای کاهش پهنای باند هدف و جلوگیری از ارائه درخواست‌های قانونی استفاده می‌کنند. حملات DDoS لایه برنامه از سیل HTTP، حملات Slowloris یا RUDY، حملات zero-day و سایر حملاتی استفاده می کنند که آسیب پذیری های یک سیستم عامل، برنامه یا پروتکل را هدف قرار می دهند تا یک برنامه خاص را از کار بیندازند.

3. هرزنامه ها

هرزنامه‌ها ایمیل‌ها را از وب‌سایت‌ها، انجمن‌ها، کتاب‌های مهمان، اتاق‌های گفتگو و هر جای دیگری که کاربران آدرس ایمیل خود را وارد می‌کنند، جمع‌آوری می‌کنند. پس از دریافت، ایمیل ها برای ایجاد حساب کاربری و ارسال پیام های هرزنامه استفاده می شوند. طبق بررسی های انجام شده بیش از 80 درصد هرزنامه ها از بات نت ها می آیند.

چگونه در برابر بات نت ها محافظت کنیم

برای جلوگیری از تبدیل شدن دستگاه‌هایتان به یک بات‌نت، توصیه می‌کنیم سازمانتان توصیه‌های زیر را در نظر بگیرد:

-یک برنامه آموزشی منظم برای آگاهی از امنیت که به کاربران/کارمندان می‌آموزد پیوندهای مخرب را شناسایی کنند.

-همیشه نرم افزار خود را به روز نگه دارید تا احتمال حمله بات نت با سوء استفاده از نقاط ضعف سیستم کاهش یابد.

-از احراز هویت دو مرحله ای برای جلوگیری از نفوذ بدافزار بات نت به دستگاه ها و حساب ها در صورت به خطر افتادن رمز عبور استفاده کنید.

-گذرواژه‌ها را در همه دستگاه‌ها به‌روزرسانی کنید، به‌ویژه گزینه‌های حریم خصوصی و امنیتی در دستگاه‌هایی که دستگاه به دستگاه یا به اینترنت متصل می‌شوند.

– آنتی ویروس با کیفیت که به روز نگه داشته می شود و به طور منظم شبکه را اسکن می کند.

-یک سیستم تشخیص نفوذ (IDS) را در سراسر شبکه خود مستقر کنید.

-حفاظت از endpoint که شامل قابلیت تشخیص روت کیت است و می تواند ترافیک شبکه مخرب را شناسایی و مسدود کند.