Questa voce o sezione sull'argomento sicurezza informatica non cita le fonti necessarie o quelle presenti sono insufficienti.

---

Puoi migliorare questa voce aggiungendo citazioni da fonti attendibili secondo le linee guida sull'uso delle fonti.

Un botnet è una rete composta da dispositivi infettati da malware, noti come bot o zombie, che operano sotto il controllo di un singolo attore, chiamato botmaster ^[1]. Questa struttura consente di ampliare le risorse e le capacità offensive a disposizione del botmaster.^[2]

I dispositivi connessi a Internet, se affetti da vulnerabilità nell'infrastruttura, possono diventare parte di una botnet. Se l'agente infettante è un trojan, il botmaster può controllare il sistema tramite accesso remoto utilizzando protocolli di rete come IRC o HTTP, attraverso un centro di comando noto come Command and Control (C2) ^[3]. I computer infettati possono lanciare attacchi, noti come Distributed Denial of Service (DDoS), contro altri sistemi e/o compiere operazioni illecite, talvolta su commissione di organizzazioni criminali.^[2]

Le botnet sono strumenti potenti per i criminali informatici, poiché consentono attacchi su larga scala e la possibilità di affittare l'accesso a segmenti della loro rete sul mercato nero per ottenere guadagni significativi.

In generale, il termine "botnet" viene utilizzato per descrivere reti capaci di agire con sincronia e autonomia per fini illegali. Tuttavia, esistono anche botnet legali impiegate per studiare la diffusione del malware o per progetti di ricerca sul calcolo distribuito. Un esempio significativo è il progetto SETI@home della Berkeley University, che utilizza la potenza computazionale aggregata di una rete di computer per cercare forme di vita extraterrestre.^[4]

Le botnet possono compromettere i computer violando le loro difese di sicurezza, come credenziali di accesso deboli, firewall mal configurati o software vulnerabili. In tali casi, il controllo del sistema viene ceduto al botmaster, che è in grado di dirigere le attività di questi computer tramite protocolli di rete come IRC e HTTP/HTTPS.

Alcune botnet sono utilizzate da criminali informatici per una varietà di scopi, tra cui estorsioni, attacchi e la conservazione di materiale illecito, come contenuti di natura pedopornografica.

Tali malware/trojan specializzati, una volta assunto il controllo di un sistema, trasmettono all'esterno, generalmente al proprio botmaster, i dati fondamentali relativi al sistema infettato. Per fare ciò, spesso sfruttano i canali IRC, connettendosi a un canale privato protetto da password per fornire un accesso esclusivo al loro gestore. Tramite questo canale di chat, il gestore è in grado di controllare simultaneamente tutti i sistemi infetti in ascolto, che possono essere anche decine di migliaia, impartendo ordini e richiedendo informazioni come immagini dello schermo, indirizzi IP o, ad esempio, l'hostname/IP di una vittima da attaccare tramite DDoS. I botmaster possono anche controllare i computer zombie attraverso reti peer-to-peer sofisticate, persino utilizzando Skype e protocolli binari e crittografati. Se il bersaglio si trova dietro un firewall ben configurato, per eludere i controlli può essere utilizzato il protocollo HTTP/HTTPS, poiché la porta 80 è generalmente presente nella whitelist dei firewall di quasi tutti gli utenti. In questo caso, il collegamento sfrutta un server intermedio specializzato che supporta il protocollo direttamente o lo utilizza come incapsulamento per altri protocolli che devono rimanere nascosti.

Questi malware sono spesso programmati per spiare il sistema infetto come se fossero spyware, intercettando password e altre informazioni private utili all'attaccante. Possono anche offrire accesso alle macchine infette tramite backdoor oppure fornire servizi proxy che garantiscono l'anonimato in rete a scapito della banda della rete compromessa.

Un uso più sofisticato delle botnet è quello di fungere da proxy verso un sistema compromesso: i bot vengono spesso ripuliti dal malware; tuttavia, se l'attaccante installa un server su una di queste macchine e ne perde il controllo, il danno può essere significativo. Per ridurre tali rischi, una tecnica recentemente adottata è quella del fastflux^[5], in cui una macchina esterna alla botnet esegue un finto server (ad esempio per effettuare spoofing), mentre le macchine della botnet fungono solo da proxy verso questa macchina.

Con l'aumento del numero di sistemi compromessi, l'attaccante può sfruttare sempre più potenza di calcolo per individuare le password di sistemi che in precedenza risultavano molto difficili da decifrare, utilizzando tecniche di calcolo distribuito.

I canali C&C (Command and Control), che rappresentano un punto di forza dell'infrastruttura, possono anche costituire una debolezza: i mezzi per accedervi devono essere protetti da altri pirati informatici. Questo livello di protezione è garantito attraverso diverse tecniche, tra cui:

• Hosting bulletproof ^[6]
• Dynamic DNS
• Fast fluxing
• Domain fluxing ^[7]

Per evitare che i domini accessibili dalle macchine infette attivino blocchi di protezione o altri automatismi di sicurezza, l'attaccante può utilizzare software che generano dinamicamente nomi di dominio sempre diversi e impiegare un proprio sistema DNS. Avendo il controllo sui record DNS, il malware può cambiare rapidamente gli indirizzi IP a cui puntano i nomi di dominio, reindirizzare domini verso altri domini o rinominare i domini a intervalli casuali seguendo un pattern prevedibile dal malware. Questi sono tutti elementi del domain fluxing ^[7], spesso utilizzato insieme a architetture robuste (come stella, multi-server, gerarchica e randomizzata) per eludere i blocchi imposti delle autorità e dei fornitori di servizi Internet.^[8][9]

Il modello client-server è stato uno dei primi approcci utilizzati nelle botnet di Internet, generalmente basato su IRC o su siti web contenenti liste di comandi predefiniti. IRC è un protocollo testuale facile da implementare, e le botnet che si fondano su di esso presentano agenti infettanti di dimensioni contenute, che richiedono poca larghezza di banda e utilizzano metodi semplici per la comunicazione.

Nel caso delle botnet basate su IRC, i client infetti si collegano a un server IRC e accedono a un determinato canale per ricevere i comandi. Il botmaster invia i comandi al canale tramite il server IRC, e i client li recuperano ed eseguono.^[10]

Tuttavia, questo tipo di canale può essere facilmente inibito da filtri basati su parole chiave, anche se gli agenti creano nuovi canali di chat in modo casuale. Infatti, molte delle grandi botnet preferivano utilizzare domini e hosting protetti piuttosto che IRC nella loro architettura (come nel caso della Rustock botnet ^[11] e della Srizbi botnet ^[12]).

Con il passare del tempo, il modello client-server è diventato troppo vulnerabile ai blocchi, spingendo i botmaster a optare per l'uso di protocolli peer-to-peer.

In risposta agli sforzi per individuare ed eliminare le botnet IRC, i botmaster hanno iniziato a distribuire malware sulle reti peer-to-peer (P2P). Questi bot tendono a utilizzare firme digitali, in modo che solo chi ha accesso alla chiave privata possa controllare le botnet ^[13]. (Gameover ZeuS, ZeroAccess botnet).

Le botnet più recenti operano completamente su reti P2P. Invece di comunicare con un server centralizzato, i bot P2P fungono sia da server per la distribuzione dei comandi sia da client per riceverli. ^[10] Questo approccio elimina il problema del singolo punto di vulnerabilità, tipico delle botnet centralizzate.

Per individuare altre macchine infette, il bot interroga discretamente indirizzi IP casuali fino a stabilire un contatto con un'altra macchina compromessa. La macchina contattata risponde fornendo informazioni come la propria versione del software e l'elenco dei bot conosciuti. Se una delle due versioni è inferiore all'altra, inizia un trasferimento di file per effettuare l'aggiornamento.^[13] In questo modo, ogni bot amplia la propria lista di macchine infette e si aggiorna comunicando periodicamente con tutti i bot conosciuti.

• Componente Host
• Componente di rete

I bot sono le macchine compromesse che il botmaster può controllare a distanza grazie a un agente attivato su di esse. L'agente che consente a una macchina compromessa di essere gestita da un botmaster è chiamato agente di bot (bot agent). Questo agente può essere un componente di malware autonomo, presentarsi come un file di libreria di collegamento dinamico (DLL), un eseguibile o un pezzo di codice integrato nel malware stesso. Le funzioni principali dell'agente di bot includono: ricevere i comandi dal botmaster, eseguire attacchi e inviare dati al botmaster.

Il componente di rete di una botnet è qualsiasi risorsa online utilizzata dalla botnet per portare a termine le sue operazioni.

I protocolli di comando e controllo delle botnet sono stati implementati in vari modi, passando da approcci tradizionali come IRC a soluzioni più sofisticate.

Le botnet Telnet utilizzano un semplice protocollo di comando e controllo (C&C) in cui i bot si connettono a un'unità di comando principale che gestisce la botnet.

Il server di controllo scansiona un intervallo di indirizzi IP alla ricerca di server Telnet ^[14] e SSH con credenziali di accesso predefinite. Una volta trovate queste credenziali, vengono raccolte in una "lista di infezione" e, successivamente, i server vengono infettati tramite script malevoli eseguiti attraverso SSH dal server di controllo.

Quando il comando SSH viene eseguito, il server infettato diventa parte della botnet grazie al codice malevolo che lo ha compromesso. A questo punto, il botmaster ^[1], attraverso l'unità di comando principale, è in grado di controllare i bot e lanciare attacchi DDoS su larga scala.

Questi tipi di botnet sono stati utilizzati per attaccare grandi siti web come Xbox Live e PlayStation network da un noto gruppo di hacker chiamato Lizard Squad.^[15]

I canali di comunicazione IRC rappresentano una forma tradizionale di chat online ^[16]. Le reti IRC utilizzano metodi di comunicazione semplici e a bassa larghezza di banda, rendendole adatte per ospitare botnet. Queste reti sono state utilizzate con un certo successo per coordinare attacchi DDoS e inviare migliaia di email spam.

In una chat room, è possibile trovare numerosi utenti che possono essere infettati e diventare bot; il botmaster può impartire comandi attraverso la chat room, allertando rapidamente tutti gli utenti connessi.

I cracker possono cambiare continuamente canale per evitare di essere rimossi, ma il semplice blocco di determinate parole chiave si è dimostrato efficace nel fermare le botnet basate su IRC.

Essenziale per l'uso delle reti IRC è la conoscenza da parte dei bot-client del server IRC, della porta e del canale di comunicazione.

Le organizzazioni anti-malware sono in grado di rilevare e disattivare server e canali, bloccando efficacemente le botnet. Quando ciò accade, i client rimangono infetti ma inattivi, poiché non hanno più modo di ricevere istruzioni. Per affrontare questo problema, una botnet può essere composta da diversi server o canali; se uno di essi viene disabilitato, il sistema può passare a un altro server o canale disponibile, evitando così che i client rimangano inattivi. È possibile rilevare e interrompere ulteriori server o canali sniffando il traffico IRC.^[10]

Poiché la maggior parte delle botnet che utilizzano reti e domini IRC possono essere disattivate nel tempo, i cracker si sono spostati verso le botnet P2P (peer-to-peer) per rendere più difficile la loro rimozione.

In una botnet P2P, tutti i bot sono connessi tra loro e possono fungere sia da server che da client. Questo modello decentralizzato aumenta la resilienza della botnet, poiché non esiste un singolo punto di vulnerabilità.

Il cracker o il gruppo di cracker che crea una botnet di questo tipo inizia reclutando i membri identificando gli host vulnerabili all'interno di una rete P2P già esistente. L'infezione avviene attraverso lo scambio di file malevoli, rendendo il processo di contaminazione relativamente semplice. Dopo l'infezione, è fondamentale che i bot si connettano tra loro e, in particolare, al botmaster per ricevere i comandi.^[16]

Per consentire a un bot di connettersi alla rete, deve eseguire una fase di bootstrap, che consiste nel collegarsi a un server bootstrap il cui indirizzo è incorporato nel codice del bot stesso. Questo server viene contattato la prima volta che il bot viene eseguito.

Il compito di un server bootstrap è mantenere un ampio elenco di indirizzi IP dei nodi. Anche se questi server possono essere rimossi dai professionisti della sicurezza, ciò non influirebbe sui bot già presenti nella rete, ma impedirebbe l'ingresso di nuove infezioni fino alla configurazione di nuovi server.^[17] Una volta costruita la rete, i bot rimangono in attesa di istruzioni per eseguire azioni illecite o aggiornamenti. Alcuni botmaster utilizzano anche la crittografia come metodo per proteggere o nascondere la botnet da potenziali avversari. Spesso ricorrono a crittografia a chiave pubblica per garantire la sicurezza delle comunicazioni all'interno della rete.

Molte botnet utilizzano domini per la loro costruzione, di solito ospitati da servizi da bulletproof hosting. Questo rappresenta uno dei primi tipi di comando e controllo (C&C).

Un computer zombie accede a una pagina web o a un dominio appositamente progettati per restituire l’elenco dei comandi di controllo.

Il vantaggio dell’uso di pagine web o domini come C&C consiste nel consentire un controllo e un mantenimento tramite codice semplice, che può essere facilmente aggiornato.

Gli svantaggi dell’utilizzo di questo metodo includono la necessità di una notevole larghezza di banda e il fatto che i domini possono essere facilmente sequestrati dalle agenzie governative senza molti problemi. Se i domini che controllano le botnet non vengono sequestrati, diventano obiettivi facili per attacchi DoS.

Il DNS fast-flux può essere utilizzato come metodo per rendere difficile il rintracciamento dei server di controllo. I server di controllo possono anche passare ad altri domini DNS, con algoritmi di generazione del dominio utilizzati per creare nuovi nomi DNS per i server controllori.

Alcune botnet utilizzano servizi di hosting DNS gratuiti come DynDns.org, No-IP.com e Afraid.org per indirizzare un sottodominio verso un server che ospita i bot. Questi servizi DNS gratuiti forniscono indirizzi spesso codificati nel file eseguibile della botnet. La rimozione di questi servizi può paralizzare l’intera botnet.

Tra le numerose botnet emerse negli anni 2000-2010, molte delle quali erano ancora attive nel 2015, si possono citare due esempi significativi, entrambi diffusi tramite trojan su piattaforme Microsoft Windows:

• ZeroAccess: utilizzata principalmente per l'estrazione di Bitcoin e per frodi legate a servizi pubblicitari pay-per-click. Questa botnet è nota per aver sfruttato milioni di computer infetti per generare profitti attraverso attività illecite.
• Torpig: focalizzata principalmente sul furto di dati personali e bancari. Torpig ha colpito un gran numero di utenti, raccogliendo informazioni sensibili attraverso tecniche di phishing e malware.

Negli ultimi anni, le botnet sono diventate una fonte di interesse crescente per la criminalità organizzata, rappresentando un metodo efficace per guadagnare denaro in modo illegale. I botmaster vendono i servizi delle botnet a clienti desiderosi di compiere azioni illecite. Tra le attività disponibili nel "catalogo" delle botnet ci sono:

• Denial of Service (DoS): attacchi massivi come DDoS (Distributed Denial of Service), DoS e DRDoS, che mirano a sovraccaricare un servizio o un sito web rendendolo inaccessibile.
• Spam: campagne di invio massivo di email con l'obiettivo di promuovere e vendere ad un vasto pubblico, prodotti, spesso illegali.
• Phishing: campagne progettate per ingannare gli utenti e carpire le loro credenziali, utilizzate per furti d'identità, riciclaggio di denaro e altre attività fraudolente.
• Spyware: software maligno che raccoglie informazioni sull'attività online di un utente senza il suo consenso, trasmettendo tali dati a terzi che li sfruttano per trarne profitto.

Queste attività non solo danneggiano gli individui e le aziende, ma rappresentano anche una minaccia significativa per la sicurezza informatica globale. Le botnet sono quindi strumenti cruciali nel panorama della criminalità informatica moderna.

La botnet rappresenta un problema complesso e, di conseguenza, anche la sua soluzione risulta altrettanto intricata. Infatti, sebbene in teoria basterebbe eliminare il malware dal computer per estirpare completamente la minaccia, la botnet non risiede su un solo host. Pertanto, anche dopo aver rimosso il malware e ripristinato una macchina compromessa, il problema rimane irrisolto: questo processo elimina semplicemente un elemento ospite dalla botnet, ma essa continuerà a essere operativa e accessibile dai cybercriminali che la gestiscono.Per questo motivo, la lotta contro le botnet deve essere condotta su due fronti:

1. Il fronte tecnico
2. Il fronte legale

Dal punto di vista tecnico, la lotta contro le botnet si concentra su due elementi principali: l'host e la rete. Poiché le botnet sono disperse geograficamente, è necessario identificare e riparare ogni singolo computer infetto. Inoltre, è importante limitare l'efficacia dei sistemi di filtraggio. Alcune botnet utilizzano DNS gratuiti e servizi di hosting come DynDns.org, No-IP.com, e Afraid.org per puntare un sottodominio verso un server IRC che ospita i bot. Questi servizi DNS gratuiti non ospitano gli attacchi, ma forniscono punti di riferimento. La rimozione di tali servizi può paralizzare un'intera botnet. Inoltre, alcune botnet implementano versioni personalizzate di protocolli molto noti. L'analisi delle differenze tra le implementazioni dei protocolli può essere utilizzata per il rilevamento delle botnet. Ad esempio, Mega-D ^[18] dispone di una versione leggermente modificata del protocollo SMTP per testare la capacità di invio di spam. Filtrare il server SMTP di Mega-D disabilita l'intero pool di bot che si basa su quel server

I ricercatori dell'Università della California hanno preso il controllo di una botnet che si è rivelata sei volte più piccola del previsto. Questo è accaduto perché molti utenti cambiano frequentemente il loro indirizzo IP durante la giornata. Pertanto, stimare la dimensione di una botnet basandosi solo sul numero di indirizzi IP può portare a una valutazione inaccurata della sua reale grandezza. ^[37]

• Computer zombie

• (EN) botnet, su Enciclopedia Britannica, Encyclopædia Britannica, Inc.
• (EN) Denis Howe, Botnet, in Free On-line Dictionary of Computing. Disponibile con licenza GFDL
• Jone Pierantonio, Botnet Hunters, quei cacciatori che setacciano il web (e vanno a caccia di malware), su chefuturo.it (archiviato dall'url originale il 23 febbraio 2017).

Portale Sicurezza informatica: accedi alle voci di Teknopedia che trattano di sicurezza informatica