Một botnet là tập hợp các thiết bị kết nối web như máy chủ, PC, thiết bị di động và thiết bị IoT bị nhiễm và được kiểm soát bởi malware chung. Một hệ thống thường trở thành một phần của botnet mà không cần người dùng nhận ra. Các thiết bị bị chiếm đoạt này có thể được dùng để thực hiện tấn công từ chối dịch vụ phân tán (DDoS), đánh cắp bản ghi, gửi thư rác hoặc thậm chí truy cập từ xa mạng cục bộ của thiết bị.
Một cuộc tấn công DDoS quy mô lớn thể tích có thể tạo lưu lượng đo bằng chục Gigabit mỗi giây. Một mạng thông thường sẽ không thể xử lý lưu lượng như vậy.
Kẻ tấn công xây dựng mạng máy tính bị hack gọi là botnet bằng cách lan truyền mã độc qua email, trang web và mạng xã hội. Vì các máy tính này bị nhiễm, chúng có thể được kiểm soát từ xa, mà không cần kiến thức của chủ sở hữu, và dùng như một quân đội để khởi động tấn công vào một số mục tiêu.
Cấu trúc mạng bot đã tiến hóa theo thời gian, thích ứng với hệ thống an ninh mới hơn để tránh phát hiện hoặc gián đoạn. Truyền thống, chương trình bot được xây dựng như client kết nối qua máy chủ hiện có. Nhưng một số botnet hiện tại dựa trên mạng peer-to-peer (P2P) hiện có để giao tiếp. Chương trình bot P2P này có cùng khả năng như botnet hoạt động trong mô hình client-server, nhưng chúng giao tiếp trực tiếp với nhau, loại bỏ nhu cầu máy chủ trung tâm.
Botnet được dùng để phân phối thư rác qua email, cố gắng tấn công click fraud (gián điệp nhấp chuột) và khởi động tấn công DDoS. Malware botnet sẽ thường xuyên quét internet tìm hệ thống hở hoặc thiết bị IoT, thay vì nhắm mục tiêu cá nhân hoặc công ty, để nhiễm nhiều thiết bị càng nhiều càng tốt.
Sức mạnh tính toán và tài nguyên của botnet lớn được tận dụng để tự động hóa dịch vụ trong khi vẫn ẩn mình khỏi chủ sở hữu máy tính. Botnet ở trạng thái ẩn thông qua nhiều chiến thuật. Một cách tiếp cận chính là móc nối (piggyback) lên trình duyệt máy tính. Bằng cách sử dụng một khu vực nhỏ tài nguyên thiết bị, tăng trưởng lưu lượng quá nhỏ để người dùng nhận ra.
Tấn công DDoS được thực hiện với mạng thiết bị kết nối Internet. Tấn công DDoS có thể được tạo ra theo từng bước như sau:
- Các mạng này bao gồm máy tính và thiết bị khác bao gồm thiết bị IoT đã bị nhiễm malware, cho phép chúng được kiểm soát từ xa bởi kẻ tấn công. Các thiết bị cá nhân này được định nghĩa là bot hoặc zombie, và nhóm bot được gọi là botnet.
- Một khi botnet đã được tạo, kẻ tấn công có thể chỉ đạo tấn công bằng cách gửi hướng dẫn từ xa đến mỗi bot. Có thể dùng để gửi nhiều yêu cầu kết nối hơn máy chủ có thể xử lý tại một thời điểm.
- Kẻ tấn công có thể khiến máy tính gửi lượng lớn thông tin ngẫu nhiên cho tài nguyên nạn nhân để dùng hết băng thông của mục tiêu.
- Khi botnet nhắm mục tiêu máy chủ hoặc mạng của nạn nhân, mỗi bot gửi yêu cầu đến địa chỉ IP của mục tiêu, có thể khiến máy chủ hoặc mạng bị quá tải, dẫn đến từ chối dịch vụ cho lưu lượng thông thường.