یک بات‌نت (Botnet) شبکه‌ای از دستگاه‌های متصل به اینترنت مانند کامپیوترها، گوشی‌های هوشمند، روترها و دوربین‌های مداربسته است که توسط بدافزار آلوده شده و به‌طور مخفیانه توسط یک مهاجم کنترل می‌شوند. مهاجم که Botmaster نامیده می‌شود، از قدرت ترکیبی این «بات‌ها» برای اجرای حملات DDoS، ارسال اسپم، سرقت اعتبارنامه‌ها (Credentials) یا استخراج ارزهای دیجیتال استفاده می‌کند.
بات‌نت چیست و چگونه عمل می‌کند؟
در دنیای امنیت سایبری، بات‌نت در واقع یک زیرساخت حمله است؛ شبکه‌ای از دستگاه‌های سازش‌یافته که یک Botmaster آن‌ها را از طریق یک کانال فرماندهی و کنترل (C2 – Command and Control) هدایت می‌کند. خطر اصلی بات‌نت‌ها در مقیاس‌پذیری آن‌هاست؛ به طوری که مهاجم می‌تواند پهنای باند و قدرت پردازشی هزاران یا میلیون‌ها دستگاه را برای یک هدف واحد متمرکز کند.
چرخه حیات یک بات‌نت
فرآیند تشکیل و عملیاتی شدن یک بات‌نت معمولاً در چهار مرحله رخ می‌دهد:
- سرایت (Infection): بدافزار از طریق فیشینگ، آسیب‌پذیری‌های نرم‌افزاری یا رمزهای عبور ضعیف وارد دستگاه می‌شود.
- جذب (Recruitment): بدافزار با زیرساخت مهاجم ارتباط برقرار کرده و دستگاه را به عنوان یک بات جدید ثبت می‌کند.
- کنترل (Control): Botmaster دستورات و به‌روزرسانی‌ها را به کل شبکه ارسال می‌کند.
- حمله (Attack): بات‌ها به‌طور هماهنگ اقدام به اجرای عملیات (مانند فلود کردن یک وب‌سایت) می‌کنند.
معماری‌های فرماندهی و کنترل (C2)
نحوه دریافت دستورات توسط بات‌ها، تاب‌آوری شبکه را تعیین می‌کند:
- متمرکز (Centralized): تمام بات‌ها به یک سرور C2 متصل می‌شوند. این مدل سریع است اما با از کار افتادن سرور، کل شبکه نابود می‌شود.
- مبتنی بر HTTP: بات‌ها از طریق ترافیک وب معمولی با C2 ارتباط می‌گیرند تا در میان ترافیک عادی شبکه گم شوند و از فایروال‌ها عبور کنند.
- همتا به همتا (P2P): بات‌ها دستورات را به یکدیگر منتقل می‌کنند و هیچ سرور مرکزی وجود ندارد. این معماری به دلیل نبود «نقطه شکست واحد» (Single Point of Failure)، بسیار سخت‌تر تخریب می‌شود.
تکنیک‌های پنهان‌سازی بات‌نت‌ها
برای جلوگیری از شناسایی و مسدود شدن، عاملان تهدید از روش‌های زیر استفاده می‌کنند:
- الگوریتم‌های تولید دامنه (DGA): تولید هزاران دامنه تصادفی در روز تا مسدود کردن تک‌تک آن‌ها غیرممکن شود.
- تغییر سریع IP (Fast Flux): چرخش سریع آدرس‌های IP پشت یک دامنه واحد برای دور زدن لیست‌های سیاه.
- ترافیک رمزنگاری شده: استفاده از Encryption برای اینکه ابزارهای امنیتی نتوانند پیام‌های C2 را از ترافیک عادی تشخیص دهند.
کاربردهای اصلی بات‌نت‌ها
بات‌نت‌ها ابزاری چندمنظوره برای جرایم سایبری هستند:
- حملات DDoS: غرق کردن سرور هدف در ترافیک عظیم برای از دسترس خارج کردن سرویس.
- کمپین‌های اسپم و فیشینگ: ارسال انبوه ایمیل از طریق IPهای مختلف برای دور زدن فیلترهای اسپم.
- پر کردن اعتبارنامه‌ها (Credential Stuffing): تست خودکار جفت‌های نام کاربری و رمز عبور لو رفته در سایت‌های مختلف.
- کریتوجکینگ (Cryptojacking): استفاده از قدرت پردازشی دستگاه‌های قربانی برای استخراج ارز دیجیتال.
انواع بات‌نت‌ها بر اساس هدف و زیرساخت
- بات‌نت‌های IoT: هدف قرار دادن روترها و دوربین‌های IP که معمولاً رمزهای پیش‌فرض دارند (مانند بات‌نت Mirai).
- بات‌نت‌های موبایل: جذب گوشی‌های اندرویدی از طریق اپلیکیشن‌های مخرب برای سرقت داده‌های بانکی.
- بات‌نت‌های ابری (Cloud-based): استفاده از سرورهای مجازی compromised برای بهره‌مندی از پهنای باند بسیار بالا.
- بات‌نت‌های مبتنی بر AI: استفاده از هوش مصنوعی برای تولید پیام‌های فیشینگ متقاعدکننده‌تر و تقلید از رفتار انسانی جهت دور زدن CAPTCHAها.
مثال‌های واقعی و تاثیرات
حملات بات‌نت‌ها می‌توانند زیرساخت‌های حیاتی اینترنت را مختل کنند. برای مثال، حمله بات‌نت Mirai به ارائه‌دهنده DNS Dyn در سال ۲۰۱۶ باعث از دسترس خارج شدن سایت‌های بزرگی چون Twitter و Netflix شد. همچنین در سال ۲۰۲۵، بات‌نت Aisuru/Kimwolf رکورد حمله DDoS با شدت ۳۱.۴ ترابیت بر ثانیه (Tbps) را ثبت کرد که نشان‌دهنده افزایش شدید قدرت این شبکه‌ها است.
راهکارهای پیشگیری و مقابله
برای جلوگیری از تبدیل شدن تجهیزات سازمان به بخشی از یک بات‌نت، اقدامات زیر ضروری است:
- به‌روزرسانی مداوم (Patching): رفع سریع آسیب‌پذیری‌های نرم‌افزاری برای بستن نقاط ورود.
- تغییر رمزهای پیش‌فرض: حذف تمامی رمزهای عبور کارخانه‌ای در تجهیزات IoT و روترها.
- مانیتورینگ ترافیک: نظارت بر اتصالات خروجی غیرعادی (Outbound Connections) که ممکن است نشان‌دهنده ارتباط با سرور C2 باشد.
- استفاده از نرم‌افزارهای امنیتی: به‌کارگیری EDR و سیستم‌های تشخیص نفوذ برای شناسایی بدافزارهای مربوط به بات‌نت.
