Wat is een Botnet in cybersecurity?

Botnets zijn netwerken van gecompromitteerde apparaten die worden beheerd door cybercriminelen. Deze gids onderzoekt hoe botnets werken, waarvoor ze worden gebruikt bij cyberaanvallen en welke uitdagingen ze vormen voor beveiliging.

Lees meer over de methoden die worden gebruikt om botnets te creëren en te beheren, evenals strategieën voor detectie en preventie. Inzicht in botnets is cruciaal voor organisaties om hun netwerken te beschermen en risico’s te beperken.

Wat is een botnet in cyberbeveiliging?

Botnets zijn netwerken van gekaapte apparaten die zijn geïnfecteerd met een gemeenschappelijk type malware en door kwaadwillende actoren worden gebruikt om grootschalige oplichting en massale cyberaanvallen te automatiseren. Elk afzonderlijk apparaat in een botnet staat bekend als een “bot” of een “zombie”, en de kwaadwillende actor achter elk botnet wordt een “bot-herder” genoemd.

Geïnfecteerde apparaten, of bots, kunnen bestaan uit personal computers, servers, mobiele apparaten en Internet of Things (IoT)-apparaten. Tegenwoordig hebben de meeste botnets miljoenen bots onder controle van één enkele bot-herder, waardoor ze grootschalige aanvallen vanuit één centraal punt kunnen uitvoeren.

Individuele threat actors of kleine teams van hackers kunnen botnets gebruiken om veel grotere aanvallen uit te voeren dan voorheen mogelijk was. Met weinig kosten en tijdsinvestering zijn botnets zowel breed toegankelijk als efficiënter dan traditionele aanvalsmethoden. Door elke computer in hun botnet tegelijkertijd dezelfde instructies te laten uitvoeren, kan een kwaadwillende actor met succes aanvallen lanceren die zijn ontworpen om het netwerk van een doelwit te laten crashen, malware te injecteren, inloggegevens te verzamelen of CPU-intensieve taken uit te voeren.

Omdat botnets worden beheerd door een externe aanvaller, zijn eigenaren zich er meestal niet van bewust dat hun apparaat deel uitmaakt van een botnet. Meestal worden botnets gevormd door kwaadwillende actoren die kwaadaardige software (malware) verspreiden naar zoveel mogelijk apparaten die via internet bereikbaar zijn. In combinatie met wormbare eigenschappen kunnen sommige botnets zelfs andere machines op hetzelfde netwerk infecteren, wat autonome groeimogelijkheden en eindeloze kansen voor threat actors biedt.

Soms, nadat een botnet is opgebouwd, verkoopt of verhuurt de bot-herder de mogelijkheid om het botnet te besturen aan andere kwaadwillende actoren op het dark web of de zwarte markt. Hoe dan ook, botnets worden doorgaans gebruikt om gecoördineerde aanvallen via internet uit te voeren in de vorm van DDoS-aanvallen, massale e-mailspamcampagnes, gerichte inbraken of financiële inbreuken.

Hoe botnets werken

In plaats van zich op specifieke personen of bedrijven te richten, is botnet-malware doorgaans ontworpen om zoveel mogelijk apparaten te infecteren – hoe meer apparaten met een botnet zijn verbonden, hoe groter de rekenkracht en functionaliteit die die apparaten bieden voor het uitvoeren van geautomatiseerde taken. Om argwaan te voorkomen, gebruiken botnets doorgaans slechts een klein deel van de middelen van het geïnfecteerde apparaat en draaien ze op de achtergrond.

Bot-herders kunnen botnets creëren door malware naar nietsvermoedende ontvangers te sturen via bestandsdeling, e-mail, protocollen van socialemedia-applicaties of door andere bots als tussenpersonen te gebruiken. Zodra ze worden geopend, infecteren kwaadaardige bestanden apparaten met kwaadaardige code die de computer instrueert om terug te rapporteren aan de bot-herder. Op zijn beurt geeft de bot-herder opdrachten aan geïnfecteerde apparaten en kan hij bots zelfs updaten om hun volledige functionaliteit te wijzigen als reactie op tegenmaatregelen die door het doelsysteem zijn getroffen.

Apparaten kunnen ook worden geïnfecteerd via kwetsbaarheden in firmware, websites en applicaties. Sommige botnets gebruiken wormbare code om elk apparaat op een netwerk te infecteren dat kwetsbaar is voor een specifieke softwarefout. Enterprise IoT-apparaten, die vaak oude en niet-gepatchte firmware draaien, zijn bijzonder vatbaar voor dit soort infectievector.

Wanneer een bot-herder met succes een voldoende aantal bots heeft geïnfecteerd, is de volgende stap mobilisatie. De bot-herder stuurt opdrachten of updates naar de geïnfecteerde apparaten en de bots voeren de bevelen uit.

Typen botnets

Over het algemeen zijn er twee soorten structuren die bot-herders gebruiken om hun botnets te besturen. De eerste is een gecentraliseerd model met directe communicatie tussen de bot-herder en elk apparaat in het botnet. De tweede is een gedecentraliseerd systeem met meerdere verbindingen tussen botnet-apparaten.

Gecentraliseerde client-servermodellen

Botnets van de eerste generatie werken meestal volgens een client-servermodel, wat betekent dat één command-and-control (C&C)-server wordt gebruikt om het volledige botnet te besturen. Gecentraliseerde modellen zijn echter gevoeliger voor een single point of failure vanwege de eenvoud van hun structuur.

Meestal nemen C&C-communicatiekanalen de vorm aan van Internet Relay Chat (IRC)- of HTTP-botnets.

• Internet Relay Chat (IRC)-botnets: Sommige van de vroegste botnets gebruiken vooraf geconfigureerde IRC-servers en -kanalen om bots op afstand te besturen. Dit type aanval vereist doorgaans weinig bandbreedte en gebruikt eenvoudige communicatiemethoden om identiteit te verhullen en detectie te vermijden.

• HTTP-botnets: Webgebaseerde botnets stellen bot-herders in staat het HTTP-protocol te gebruiken om opdrachten naar bots te sturen en hun activiteiten te maskeren als normaal webverkeer. Bij dit type aanval bezoeken bots periodiek de server om nieuwe updates en opdrachten te ontvangen.

Gedecentraliseerde peer-to-peer (P2P)-modellen

Botnets van de nieuwe generatie gebruiken overwegend peer-to-peer (P2P)-modellen waarmee bots opdrachten en informatie met elkaar kunnen delen zonder direct contact met C&C-servers. Hoewel ze moeilijker te implementeren zijn in vergelijking met IRC- of HTTP-botnets, zijn P2P-botnets veerkrachtiger omdat ze niet afhankelijk zijn van één enkele gecentraliseerde server.

In een P2P-model deelt en actualiseert elke bot informatie tussen apparaten door zowel als client als server te functioneren.

Typen botnetaanvallen

Botnets worden door bot-herders gebruikt om verschillende typen botnetaanvallen uit te voeren. Hoewel sommige aanvallen vaker voorkomen of geavanceerder zijn dan andere, vormen alle typen botnetaanvallen ernstige bedreigingen voor cyberbeveiliging.

Phishing-aanvallen

In tegenstelling tot andere typen social-engineeringaanvallen is phishing gericht op pure schaal. Aanvallers sturen doorgaans phishing-e-mails naar zoveel mogelijk ontvangers, in de hoop dat er maar één in de oplichting trapt. Phishing-aanvallen vereisen weinig initiële inspanning of investeringen en kunnen aanvallers enorme opbrengsten opleveren.

Met de kracht van botnets achter zich kunnen phishing-aanvallen ogenschijnlijk eindeloze e-mailinboxen bereiken. En omdat botnets zowel wijdverspreid als geautomatiseerd zijn, is het zeer uitdagend om een phishingcampagne stop te zetten.

Distributed Denial of Service (DDoS)-aanvallen

Distributed Denial of Service (DDoS)-aanvallen zijn een van de meest voorkomende typen aanvallen die botnets uitvoeren. Bij een DDoS-aanval stuurt het botnet een overweldigend aantal verzoeken naar de doelserver of applicatie en zorgt het ervoor dat deze crasht. Met duizenden of miljoenen apparaten die tegelijkertijd verbinding proberen te maken met één enkele server, kan de server inkomende pakketverzoeken niet langer verwerken en wordt deze offline gehaald, waardoor hij niet beschikbaar is voor legitieme klanten.

Er zijn verschillende spraakmakende voorbeelden van DDoS-aanvallen die door botnets zijn uitgevoerd. Een van de succesvolste voorbeelden is Mirai malware, waarvan de auteur “Anna Senpai” berucht de broncode voor de kwaadaardige software op de website van Hackforums heeft vrijgegeven.

Zodra de code was gepubliceerd, werd deze gebruikt om meerdere copycat-botnets te creëren die waren ontworpen om Linux IoT-apparaten te infecteren, waaronder beveiligingscamera’s, printers, routers en andere met internet verbonden apparaten. Daarnaast werd de malware ook gebruikt om onafhankelijke beveiligingsblogger Brian Krebs aan te vallen nadat hij twee personen achter eerdere DDoS-aanvallen op Github en DNS-provider Dyn had ontmaskerd.

Door botnets aangedreven DDoS-aanvallen vormen ook voor gebruikers buiten de beoogde doelwitten een ernstig probleem. Omdat de meeste websites worden gehost door externe internetserviceproviders (ISP’s) of content delivery networks zoals Akamai, Cloudflare en Fastly, kunnen DDoS-aanvallen meerdere klanten tegelijk treffen.

In het geval van de aanval op Brian Krebs werd Akamai gedwongen zijn website te verwijderen om hun andere klanten tegen een denial of service te beschermen.

Financiële inbreuken

Botnets kunnen ook worden gebruikt om rechtstreeks geld van ondernemingen en creditcardgegevens te stelen. Botnets verzamelen financiële informatie met behulp van verschillende methoden, waaronder keylogging of het maken van schermafbeeldingen, en sturen de verzamelde informatie terug naar de externe server van de bot-herder. In sommige gevallen kan financiële informatie tegen een aanzienlijke vergoeding op de zwarte markt worden verkocht.

Een van de beruchtste botnets voor financiële inbreuken, GameOver Zeus malware, was verantwoordelijk voor het rechtstreeks stelen van miljoenen dollars van meerdere ondernemingen in korte tijd via phishing-e-mails.

Backdoor-botnets

Backdoor-botnets vertrouwen op geïnfecteerde apparaten om andere apparaten te infecteren en deze toe te voegen aan het botnet dat door de bot-herder wordt bestuurd. Net als andere typen botnetaanvallen beginnen backdoor-botnets doorgaans met een gebruiker die onbewust malware installeert.

In tegenstelling tot andere botnet-malware komen backdoor-botnets systemen echter binnen via de “achterdeur”, wat moeilijker te detecteren is. Het botnet hoeft niet per se door een gebruiker te worden binnengelaten, omdat het automatisch een weg kan vinden langs de aanwezige beveiligingsmaatregelen.

Gerichte inbraken

Gerichte inbraken worden doorgaans uitgevoerd door kleinere botnets die zijn ontworpen om specifieke, hoogwaardige systemen of netwerken van organisaties te compromitteren. Eenmaal binnen kunnen aanvallers nog verder doordringen in de systemen van een onderneming en toegang krijgen tot de meest waardevolle assets.

Dit soort aanvallen kan worden uitgevoerd als onderdeel van een bredere campagne of als een reeks pogingen in de loop van de tijd om toegang te krijgen tot de systemen en netwerken van een organisatie. Bot-herders achter gerichte inbraken beschikken doorgaans over aanvullende expertise en middelen om gedurende een lange periode campagnes uit te voeren, waarbij ze hun aanvalsmethoden aanpassen, bijstellen en verbeteren om de verdediging van hun doelwit tegen te gaan.

Remote Desktop Protocol (RDP)-aanvallen

Remote Desktop Protocol (RDP)-servers stellen apparaten in staat verbinding te maken met andere apparaten of netwerken zonder direct contact. Wanneer botnets RDP-servers aanvallen, kunnen ze zich gemakkelijk door organisaties verspreiden en elk apparaat infecteren dat het netwerk of andere apparaten raakt.

RDP-botnetaanvallen zijn steeds populairder geworden door de verschuiving naar werken op afstand en worden vaak uitgevoerd via credential stuffing, brute force en malware.

Credential stuffing

Credential-stuffingaanvallen zijn ontworpen om databases of gestolen lijsten met inloggegevens (zoals wachtwoorden en gebruikersnamen) te testen tegen meerdere accounts op zoek naar een overeenkomst. Ook bekend als “list cleaning” of “breach replay”, kan credential stuffing door botnets worden geautomatiseerd om dagelijks tientallen miljoenen accounts te testen.

Websites met zwakke beveiliging worden vaak slachtoffer van credential-stuffingaanvallen, die doorgaans kunnen worden voorkomen door sterke, unieke wachtwoorden te gebruiken.

Hoe botnets te voorkomen, detecteren en stoppen

Botnets zijn een van de meest geavanceerde typen malware die vandaag de dag bestaan en vormen enorme zorgen op het gebied van cyberbeveiliging voor overheden, ondernemingen en individuen. Met zoveel botnets op internet, waarvan vele voortdurend muteren als reactie op nieuwe kwetsbaarheden en tekortkomingen in beveiliging, zal elk botnet waarschijnlijk aanzienlijk verschillen van alle andere.

Hoe moeilijk het ook is, er zijn een paar manieren om botnetaanvallen te detecteren en te voorkomen voordat ze onomkeerbare schade aanrichten.

1. Preventie

Voorkomen dat botnet-malware apparaten infecteert, is de zekerste manier om ze tegen botnetaanvallen te beschermen. Organisaties en individuen kunnen:

• Software up-to-date houden
• Alert zijn op ongebruikelijke activiteit op het netwerk
• Mislukte inlogpogingen bijhouden
• Vermijden op verdachte links te klikken
• Stoppen met het openen van e-mails van onbekende afzenders of als ze verdacht lijken van een bekende afzender
• Veilige wachtwoorden maken (en indien nodig nieuwe aanmaken)
• Geavanceerde cyberbeveiligingssoftware gebruiken

2. Detectie

Als botnet-malware een computersysteem binnendringt, is het belangrijk deze zo snel mogelijk te detecteren. Gebruikers kunnen letten op:

• Abnormaal hoge CPU-belasting van de webserver
• Overmatig geheugengebruik
• Niet-natieve verkeersprofielen
• Netwerkblokkades veroorzaakt door overmatig netwerkverkeer

Firewallbeheer kan ook nuttig zijn voor het detecteren van botnetcommunicatie over het netwerk. Maar de meest effectieve afschrikking tegen botnetinfectie is een robuuste gedragsmatige AI-beveiligingsoplossing die kan voorkomen dat malware-payloads op het apparaat worden uitgevoerd.

3. Remediatie

Helaas is het, zodra een botnet binnendringt en chaos begint te veroorzaken, veel moeilijker om ermee om te gaan. Op dit punt moeten gebruikers hoogstwaarschijnlijk het netwerk afsluiten, alle wachtwoorden wijzigen en zelfs het computersysteem repareren.

Het goede nieuws is dat er softwareoplossingen zijn die remediatie veel beter beheersbaar maken. Het hebben van EDR-bescherming op endpoints en volledige zichtbaarheid in elk apparaat op het netwerk van een organisatie is de beste manier om botnetaanvallen zowel te voorkomen als te detecteren – zodat ze kunnen worden gestopt voordat ze beginnen.

Stop botnets met SentinelOne

Het waarborgen van XDR-bescherming voor endpoints met volledige zichtbaarheid in elk apparaat op het netwerk is de enige waterdichte manier om individuen, organisaties en overheidsinstanties tegen botnets te beschermen.

Als enige cyberbeveiligingsplatform dat moderne ondernemingen in staat stelt autonome realtime-actie te ondernemen, biedt SentinelOne’s Singularity XDR Platform meer zichtbaarheid in dynamische aanvalsoppervlakken en cross-platform security-analyses. Door endpoint-, cloud-, identiteits- en databeveiliging allemaal op één platform te centraliseren, krijgen gebruikers realtime oplossingsresultaten op machinesnelheid, met cross-platform data-analyses op ondernemingsschaal.

Lees meer over SentinelOne’s recordbrekende MITRE ATT&CK evaluation met 100% preventie, en vraag vandaag nog een demo aan om te beginnen op weg naar volledige botnetbescherming.

Vind je dit artikel leuk? Volg ons op LinkedIn, Twitter, YouTube of Facebook om de content te zien die we plaatsen.

Lees meer over cyberbeveiliging

• macOS Red Team: Spoofing van geprivilegieerde helpers (en anderen) om root-toegang te verkrijgen
• Diepgaand | Een gids voor het reverse engineeren van Smoke Loader malware
• Bouw je eigen ransomware (Project Root) | Achter vijandelijke linies deel 2
• De onderwijssector en de toenemende dreiging van cybercriminaliteit
• YARA-jacht op codehergebruik: DoppelPaymer ransomware & Dridex-families
• Privilege-escalatie | macOS-malware & het pad naar root deel 2
• De zoektocht naar zichtbaarheid & hunting brengt onzichtbare opportunity costs met zich mee
• The Good, The Bad and The Ugly in Cybersecurity