بات‌نت‌ها (Botnets) شبکه‌هایی از دستگاه‌های هک شده هستند که توسط مجرمان سایبری مدیریت می‌شوند تا برای سرقت داده‌ها، انتشار باج‌افزار و اجرای حملات DDoS مورد استفاده قرار گیرند. هر گروه از بات‌نت‌ها استراتژی متفاوتی دارد؛ برای مثال، Emotet، QakBot و TrickBot عمدتاً به عنوان ابزاری برای تحویل بدافزارهای دیگر عمل می‌کنند، در حالی که Mirai و Aisuru دستگاه‌های IoT را به سلاح‌هایی برای حملات DDoS تبدیل می‌کنند.
بات‌نت چیست و چگونه عمل می‌کند؟
یک بات‌نت در واقع عملیات جنایی است که شبکه‌ای از کامپیوترها و دستگاه‌های ربوده شده را ایجاد، کنترل و از آن‌ها سود می‌برد. چرخه حیات یک بات‌نت معمولاً در سه مرحله اصلی رخ می‌دهد:
- سرایت (Infection): این مرحله از طریق ایمیل‌های فیشینگ، اکسپلویت کردن آسیب‌پذیری‌های نرم‌افزاری یا استفاده از رمزهای عبور پیش‌فرض در دستگاه‌های اکسپوز شده (مانند روترها و دوربین‌ها) صورت می‌گیرد.
- اتصال به C2: دستگاه آلوده برای دریافت دستورات به یک سرور فرماندهی و کنترل (Command-and-Control یا C2) متصل می‌شود. برخی بات‌نت‌ها برای سخت‌تر کردن عملیات تخریب، از معماری Peer-to-Peer (P2P) یا تولید انبوه دامنه‌های تصادفی استفاده می‌کنند.
- کسب درآمد (Monetization): اپراتورها دسترسی‌های به‌دست آمده را اجاره می‌دهند، اطلاعات بانکی سرقت می‌کنند یا قربان را به گروه‌های باج‌افزار تحویل می‌دهند.
تفاوت بات‌نت، لودر و کرم
اگرچه این سه مفهوم هم‌پوشانی دارند، اما تفاوت‌های کلیدی با یکدیگر دارند. یک بات‌نت، شبکه‌ای از دستگاه‌های تحت کنترل متمرکز است. یک لودر (Loader) وظیفه نصب بدافزارهای دیگر را بر عهده دارد و یک کرم (Worm) بدون نیاز به دخالت انسان در شبکه منتشر می‌شود. برای مثال، Emotet ابتدا به عنوان یک تروجان بانکی شروع به کار کرد، سپس به یک لودر تبدیل شد و در نهایت به یک بات‌نت کامل تغییر شکل داد.
مدل Botnet-as-a-Service
امروزه بسیاری از اپراتورها (Botmasters) به جای استفاده مستقیم از بات‌نت، دسترسی به آن را به دیگران می‌فروشند. در این مدل که Botnet-as-a-Service نامیده می‌شود، مشتریانی مانند افیلیت‌های باج‌افزار یا گروه‌های متخصص در DDoS، برای بخشی از شبکه آلوده هزینه پرداخت می‌کنند. این تقسیم کار باعث می‌شود که حتی با از بین رفتن یک اپراتور، تهدید به طور کامل حذف نشود، زیرا مشتریان و توسعه‌دهندگان به سرعت به سراغ خانواده‌های دیگر می‌روند.
بررسی خانواده‌های اصلی بات‌نت‌ها
۱. لودرها و تروجان‌های بانکی
این دسته شامل نام‌های شناخته‌شده‌ای چون Emotet، QakBot و TrickBot است. هدف اصلی این‌ها ایجاد دسترسی اولیه (Initial Access) است. برای مثال، QakBot اغلب از طریق فایل‌های OneNote و فیشینگ منتشر شده و ابزارهایی مانند Cobalt Strike را برای کنترل کامل شبکه قربانی مستقر می‌کند. این لودرها معمولاً پیش‌نیاز حملات گسترده باج‌افزار هستند.
۲. بات‌نت‌های IoT و DDoS
این بات‌نت‌ها از روترها، دوربین‌ها و جعبه‌های اندروید TV که دارای رمزهای عبور پیش‌فرض هستند، استفاده می‌کنند. Mirai در سال ۲۰۱۶ با هدف قرار دادن DNS provider Dyn، بسیاری از سایت‌های بزرگ را از دسترس خارج کرد. اخیراً بات‌نت‌های Aisuru و Kimwolf با بهره‌برداری از ضعف‌های شبکه‌های Proxy مسکونی، حملاتی با حجم بی‌سابقه (در حد ترابیت بر ثانیه) را ثبت کرده‌اند.
۳. کرم‌ها و روت‌کیت‌ها
بات‌نت‌هایی مانند Conficker و ZeroAccess از این دسته هستند. Conficker با اکسپلویت کردن آسیب‌پذیری‌های سرویس Windows Server منتشر شد و میلیون‌ها سیستم را آلوده کرد. ZeroAccess نیز با استفاده از قابلیت‌های Rootkit، خود را در لایه‌های عمیق سیستم‌عامل مخفی می‌کرد تا عملیاتی مانند Click Fraud و استخراج ارزهای دیجیتال را انجام دهد.
ارتباط بات‌نت‌ها با زنجیره حملات باج‌افزاری
بسیاری از حملات پیچیده باج‌افزار از یک زنجیره عملیاتی پیروی می‌کنند. برای مثال در زنجیره کلاسیک: Emotet از طریق فیشینگ سرایت کرده، سپس لودرهای TrickBot یا QakBot را نصب می‌کند. در مرحله بعد، این لودرها با سرقت اعتبارنامه‌ها (Credentials) و حرکت عرضی (Lateral Movement) در شبکه، مسیر را برای استقرار باج‌افزارهای مخربی مانند Ryuk یا Conti هموار می‌کنند.
راهکارهای دفاعی و مقابله
برای جلوگیری از تبدیل شدن تجهیزات سازمان به بخشی از یک بات‌نت، اقدامات زیر ضروری است:
- تغییر رمزهای پیش‌فرض: تمامی دستگاه‌های IoT باید دارای رمزهای عبور پیچیده و منحصر‌به‌فرد باشند.
- غیرفعال‌سازی سرویس‌های غیرضروری: بستن پورت‌های مدیریت از راه دور (مانند Telnet و SSH) و غیرفعال کردن UPnP.
- جداسازی شبکه (Segmentation): قرار دادن دستگاه‌های IoT در یک VLAN مجزا برای جلوگیری از سرایت به شبکه اصلی.
- به‌روزرسانی Firmware: اعمال سریع وصله‌های امنیتی و کنار گذاشتن تجهیزاتی که دیگر توسط سازنده پشتیبانی نمی‌شوند.
