Ботнет (botnet)

Что такое ботнет и для чего его используют

Каждое захваченное устройство называют ботом, а атакующий управляет всеми сразу из командного центра. CISA описывает ботнеты как группы захваченных устройств, управляемых программой command and control, отмечает, что заражённые устройства тоже жертвы, и упоминает, что ботнеты могут сдавать в аренду как услугу атак. Самое известное применение это DDoS-атака: тысячи настоящих адресов делают блокировку по адресу источника малоэффективной.

Остальные применения следуют той же логике: у бота есть настоящий адрес, канал и рабочий сетевой стек. Боты рассылают спам, сканируют интернет в поисках следующих жертв и ретранслируют чужой трафик. В случае Mēris ниже исследователи нашли прокси-сервис, работающий на многих атакующих устройствах.

Вербовка чаще всего банальна. В предупреждении CISA TA16-288A объясняется, что Mirai перебирал 62 распространённые пары логин и пароль по умолчанию, и этого хватило, чтобы захватить сотни тысяч устройств, где их так и не сменили.

Как понять, что ваш сервер стал ботом

Сервер-бот обычно «занят» не в ту сторону: исходящие соединения, которых никто не планировал, незнакомый процесс, нагружающий процессор, или новый слушающий порт. Проверьте это на хосте от имени root, чтобы -p показал процесс-владелец:

sudo ss -tnp state established
sudo ss -tulpn
ps -eo user,pid,%cpu,etime,cmd --sort=-%cpu | head
ip -s link show

Первая команда выводит живые TCP-соединения с процессом за каждым из них. Ищите множество соединений к незнакомым адресам на одном порту или соединения от службы, которой не положено звонить наружу. Вторая показывает слушающие сокеты, поэтому неожиданный слушатель сразу заметен. Третья сортирует процессы по загрузке процессора, четвёртая показывает счётчики байтов по интерфейсам: запустите её дважды и сравните, потому что растущие счётчики передачи при тихом сайте тревожный признак. Ни одна проверка в одиночку ничего не доказывает, поэтому сравнивайте с обычным уровнем и следуйте руководству по мониторингу журналов.

Ботнет Mēris, роутеры и типичные ошибки

В сентябре 2021 года Qrator Labs и Яндекс опубликовали совместный разбор Mēris. Яндекс зафиксировал пик около 21,8 млн запросов в секунду 5 сентября 2021 года и назвал это крупнейшей зафиксированной DDoS-атакой на прикладном уровне. Боты в основном были роутерами MikroTik с RouterOS, трафик использовал HTTP pipelining, а адреса источников не подделывались. Оценка Яндекса: около 250 000 заражённых устройств.

Как именно заражали роутеры, в публикации не подтверждено, поэтому к любому единственному объяснению стоит относиться осторожно. В разборе Cloudflare названа уязвимость CVE-2018-14847 в RouterOS, исправленная в 2018 году.

Два вывода: ботов без подделки адресов можно блокировать на прикладном уровне, а роутер вербуют так же легко, как сервер. Типичная ошибка при подозрении на заражение: убить процесс и забыть, оставив нетронутым исходный путь проникновения.

Место ботнетов в вашей защите

С ботнетом вы сталкиваетесь в двух ролях: как цель и как возможный новобранец. Как цель, поставьте перед сайтом CDN или обратный прокси, держите адрес исходного сервера закрытым и добавьте лимиты запросов, как описано в руководстве по защите от DDoS. Разбор отчёта Cloudflare за H1 2026 показывает рекордные атаки ботнетов в контексте.

Как возможный новобранец, закройте двери, которыми пользуются боты. Своевременно ставьте обновления (руководство по управлению патчами), следуйте руководству по защите SSH и блокируйте перебор паролей через Fail2ban. Не выставляйте базы данных и Docker в интернет (базы данных, Docker). CISA также советует менять пароли по умолчанию и обновлять прошивки. Если проверки выглядят подозрительно, переходите к руководству по реагированию на взлом, а не чистите на месте.

Связанные термины: DDoS-атака, SYN-флуд, Атака на уровне приложения, Брутфорс-атака, Межсетевой экран.