Botnet

Botnet es un término que hace referencia a un conjunto de robots informáticos o bots, que se ejecutan de manera autónoma y automática. El artífice de la botnet puede controlar todos los ordenadores/servidores infectados de forma remota y normalmente lo hace a través del IRC; las nuevas versiones de estas botnets se estan enfocando hacia entornos de control mediante HTTP con lo que el control de estas maquinas será muchos más simple. Sus fines normalmente son poco éticos.

Cómo se forma una Botnet

En los sistemas Windows la forma más habitual de expansión de los "robots" suele ser en el uso de cracks u otro software relacionado con la piratería. Este tipo software suele contener malware el cual, una vez el programa se ejecuta, puede escanear su red de área local, disco duro, puede intentar propagarse usando vulnerabilidades conocidas de windows, etc.

En otros entornos como UNIX, GNU/Linux o BSD la forma más clásica de ataque a servidores para construir y expandir una Botnet es por telnet o SSH por medio del sistema prueba-error: probando usuarios comunes y contraseñas al azar contra todas las IPs que se pueda de forma sistemática o bien mediante ataques a bugs muy conocidos dado que los administradores descuidados dejan sin parchear.

Usando una Botnet para enviar Spam.
1.El operador de la botnet manda virus/gusanos/etc a los usuarios.
2.Los PC entran en el IRC o se usa otro medio de comunicación.
3.El Spammer le compra acceso al operador de la Botnet.
4.El Spammer manda instrucciones vía un servidor de IRC u otro canal a los PC infectados...
5... causando que éstos envíen Spam al los servidores de correo.

Uso habitual de las botnets

Para enviar spam a direcciones de correo electrónico, para la descarga de ficheros (normalmente de contenido ilegal) que ocupan gran espacio y consumen gran ancho de banda, para realizar ataques de tipo DDoS (Distributed Denial Of Service)...

Normalmente los creadores de estas Botnets venden sus servicios a los Spammers.

Qué hacer si estás bajo el ataque de una Botnet

Hay pocas opciones ya que si se recibe un ataque de tipo DDoS desde una Botnet dada la dispersión geográfica de los ordenadores que la componen, es casí imposible encontrar un patrón de las máquinas que te están atacando y dado el alto número de ellas que lo estarán haciendo al mismo tiempo, no se puede contemplar el filtrado de paquetes como una solución real que funcione. No obstante, ayuda a mitigar el problema haciendo un escaneo pasivo de los paquetes para reconfigurar y adaptar el firewall.

Las Botnets normalmente usan servicios gratuitos de DNS para IP's dinámicas como DynDns.org, No-IP.com, & Afraid.org para apuntar a un subdominio al cual el creador puede conectarse en caso que le cierren el servidor de IRC, en muchas ocasiones basta con avisar a estos proveedores para que cancelen su cuenta y de esta manera desarticular la Botnet completa.

Afortunadamente la estructura de servidores de la botnet tiene vulnerabilidades inherentes a su arquitectura. Por ejemplo si se encuentra el servidor de IRC y el canal, se tiene acceso a la botnet completa, con lo cual al servidor de IRC le basta con cerrar el canal o poner una g-line o k-line a las ips que intenten entrar a dicho canal.

No obstante existen construcciones más refinadas de estas botnets que tienen una lista de servidores alternativos en caso que pase esto.

Adicionalmente algunos spammers tienen su propio servidor de IRC donde ellos son los dueños y posiblemente, haga faltar ser operador de la red para ver los canales, hacer whois, o ver alguna información útil.

Véase también

• Buffer overflow
• Script kiddie
• Spam
• Spammer
• Troyano (informática)
• Blaster
• DDoS

Enlaces externos

• http://www.netfilter.org NetFilter - Página de iptables. El firewall por excelencia de GNU/Linux
• http://www.honeynet.org/papers/bots/ - German honeynet research paper
• Aprende sobre los bots y las botnets
• Los nuevos guerreros, una guerra perdida