¿Qué es una botnet? Cómo los hosts comprometidos convierten tu espacio de direcciones IP en infraestructura de ataque

Una botnet es una red de ordenadores o dispositivos comprometidos que ejecutan software malicioso y que permite a un único operador controlarlos todos de forma remota. Cada máquina infectada se denomina “bot”, la persona que las controla se conoce como “bot herder” y el canal a través del cual se envían las instrucciones se denomina command and control (C2). En conjunto, forman una plataforma distribuida que puede dirigirse contra cualquier objetivo que el operador elija.

Las botnets suelen describirse desde la perspectiva del objetivo: el sitio que queda fuera de servicio, las cuentas vaciadas o la bandeja de entrada saturada. Pero en cada botnet hay una segunda víctima, y este artículo está escrito precisamente para ella: el operador cuyo espacio de direcciones está siendo utilizado por los bots. Cuando las máquinas que utilizan sus direcciones IP son comprometidas, el atacante no solo está utilizando la capacidad informática de otra persona. También está gastando su reputación IP para operar. El spam, los escaneos y el tráfico de ataque salen desde sus direcciones, se atribuyen a sus direcciones y generan inclusiones en listas de bloqueo y reportes de abuso que pueden seguir afectando a esas direcciones mucho después de que el malware haya sido eliminado de la máquina.

Esta asimetría es la razón por la que las botnets merecen la atención de cualquier persona responsable de espacio IPv4 público, y no solo de los equipos de seguridad. Este artículo explica qué son las botnets y cómo funcionan, por qué dañan la reputación de un rango completo en lugar de una sola dirección, por qué el tráfico de botnets es especialmente difícil de atribuir, cómo reconocer hosts comprometidos dentro de su propio espacio y cómo se divide la responsabilidad cuando el espacio IPv4 es alquilado.

Una botnet es una red de máquinas comprometidas bajo el control remoto de un único operador, coordinada mediante infraestructura de command-and-control y utilizada para realizar ataques DDoS, distribuir spam, robar credenciales, realizar escaneos, actuar como proxy, cometer fraudes y llevar a cabo minería de criptomonedas. A menudo, el acceso a estas redes también se alquila a terceros que necesitan capacidad de ataque sin tener que construir su propia infraestructura. Los dispositivos son incorporados mediante vulnerabilidades sin parchear, credenciales débiles en servicios expuestos, phishing, drive-by downloads y dispositivos IoT sin mantenimiento que conservan configuraciones predeterminadas. El malware, además, está diseñado para persistir sin mostrar al propietario señales evidentes de que el sistema ha sido comprometido.

Para cualquier persona que opere espacio IPv4 público, el cambio de perspectiva más importante es entender que una botnet tiene dos víctimas: el objetivo que recibe el ataque y la red desde cuyas direcciones se origina. El tráfico de la botnet utiliza sus direcciones IP, por lo que la actividad termina afectando a su reputación. Y como los operadores distribuyen deliberadamente la actividad entre muchos hosts para evitar la detección, el daño suele extenderse a rangos completos en lugar de limitarse a una sola dirección. Al mismo tiempo, los cambios frecuentes de direcciones dinámicas y las direcciones compartidas de los operadores dificultan considerablemente una atribución precisa.

Las medidas defensivas se derivan directamente de este problema: supervise el tráfico saliente, mantenga parcheados los sistemas expuestos y utilice credenciales adecuadas, filtre y limite la velocidad del tráfico que sale de su red, mantenga un contacto de abuso supervisado y responda con rapidez cuando se produzca un incidente. Si lo hace, un compromiso seguirá siendo simplemente un incidente. Si lo descuida, puede convertirse en un coste duradero para el espacio de direcciones del que dependen todos sus servicios.