デバイスがボットネットの一部になると、 ボットハーダーと呼ばれる攻撃者によって遠隔操作され、DDoS攻撃や認証情報の窃取、malware 拡散などの命令を、所有者が気づかないうちに実行されることが多くなる。このようなネットワークは、数百から数百万の感染デバイスに及ぶ可能性があり、サイバー犯罪者は最小限の労力で活動を拡大することができます。
ボットネットは、感染、コマンド・アンド・コントロール、悪用の 3段階のライフサイクルをたどります。
サイバー犯罪者は、システムを侵害し、ボットネットを拡大するために様々なテクニックを使用します：
いったん感染すると、デバイスはバックグラウンドで静かに動作し、ボットハーダーからのさらなる指示を待つ。
感染後、ボットはコマンド・アンド・コントロール（C2）サーバーに接続し、攻撃者はそこでコマンドを発行し、窃取したデータを収集します。主なC2構造は以下の2つです：
ボットネットはいったん確立されると、さまざまなサイバー犯罪活動に利用される：
ボットネットは一夜にして出現するものではなく、成長し、運用され、時には駆除の試みから逃れられるようなライフサイクルをたどります。
ボットネットは、検知を回避し、新たな脆弱性を悪用するために進化している。
最新のボットネットは、セキュリティ・ツールから見えないようにするために、洗練されたテクニックを使っている。このような技術により、ボットネットの検知 除去が難しくなっている。
このような回避技術により、ボットネットはサイバーセキュリティの持続的な脅威となっている。
多くのユーザーは、自分のデバイスが感染していることに気づいていない。ここでは、最も注意すべき兆候を紹介する：
ボットハーダーとは、ボットネットを管理するサイバー犯罪者のことで、ボットネットの運用と利益を確保しつつ、検知を回避する。
ボットハーダーは、C2インフラを通じてコントロールを維持する：
検知を避けるため、多くのボットネットは、暗号化、ドメインフラックス（ドメインの迅速な変更）、ファストフラックスDNSのテクニックを使用して、C2インフラを隠しています。
ボットネットはいくつかの方法で収益を上げている：
ボットハーダーの人たちは、操業を継続させるために、次のような高度な方法を用いている：
一部のボットネットは解体されましたが、多くのボットネットは進化を続け、今日も脅威となっています。最近の例としては、以下が挙げられる：
Dridexはフィッシング 拡散し、金融詐欺、クレデンシャルの窃盗、ランサムウェアの展開に使用されます。継続的に適応するため、検知 削除が困難です。
Emotetは最も高度なmalware 配信ボットネットの1つで、ランサムウェアやクレデンシャル・ステーラーを配信しています。駆除が試みられたにもかかわらず、Emotetは機能を向上させて頻繁に再登場しています。
Miraiは、脆弱なパスワードを持つIoTデバイスに感染し、それらを大規模なDDoS攻撃のツールに変える。多数の亜種がルーター、カメラ、スマートホームデバイスを標的にし続けている。
Gorillaは最近確認されたボットネットで、クラウドベースのインフラとIoTデバイスを中心に、世界中で数十万のDDoS攻撃コマンドを展開している。
Necursは、スパムキャンペーン、金融詐欺、malware 配布に使用されるモジュール型ボットネットです。Dridexや Lockyランサムウェアのようなバンキング型トロイの木馬に関連している。近年は比較的不活発な状態が続いていますが、再浮上する可能性を秘めています。
2022年に初めて発見されたMantisは、これまでのボットネットよりも少ない感染マシンで記録的なDDoS攻撃を仕掛けることができる非常に効率的なボットネットです。高度な技術を駆使して攻撃トラフィックを増幅させるため、企業やクラウドインフラにとって大きな脅威となっています。
不活発ながら、以下のボットネットが現代のサイバー脅威を形成した：
ボットネットのリスクを軽減するために、組織は次のことを行うべきである：
ボットネットが検出された場合
ボットネットとは、malware感染したインターネット接続デバイスのネットワークのことで、遠隔地の攻撃者がそれらを制御できるようにする。ボット」と呼ばれるこれらの侵害されたデバイスには、コンピュータ、モバイルデバイス、IoTデバイスが含まれます。
ボットネットは以下のような様々な方法で拡散します。 フィッシング 電子メール、ソフトウェアやデバイスの脆弱性の悪用、ドライブ・バイ・ダウンロード、悪意のあるウェブサイトの利用など、さまざまな方法で拡散します。デバイスが侵害されると、そのデバイスを使用して他のデバイスを感染させ、ボットネットを拡大することができます。
一般的な使用方法としては、ウェブサイトやネットワークを圧倒してダウンさせるDDoS攻撃の開始、スパムメールの配信、クリック詐欺キャンペーンの実行、個人情報や財務情報の窃盗、ランサムウェアの展開などがある。
検出方法には、ネットワーク・トラフィックを監視して異常なアクティビティがないか調べたり、ログを分析して侵害の兆候を探ったり、侵入検知システム（IDS）を採用したり、ウイルス対策やマルウェア対策ソリューションを使って悪意のあるソフトウェアを特定したりすることが含まれる。
効果的な予防策には、以下のようなものがある：ファイアウォール、ウイルス対策プログラム、電子メールフィルターなどの強固なセキュリティ対策を導入すること。ソフトウェアやオペレーティング・システムを定期的に更新し、パッチを適用して脆弱性を解消する。のリスクについて従業員を教育する。 フィッシング や悪意のあるダウンロードのリスクについて従業員を教育する。感染拡大を抑えるためにネットワークをセグメント化する。ネットワーク振る舞い 分析による異常の検知
ボットネットの解体や破壊には、コマンド・アンド・コントロール（C&C）サーバーを特定してダウンさせること、ISPと協力してボットネットに関連するトラフィックをブロックすること、ボットネットが使用するドメイン名を押収またはシンクホールすること、感染したデバイスをクリーニングすることなどが含まれる。
国際的な法執行機関は、捜査を調整し、情報を共有し、ボットネット・インフラを破壊するための共同作戦を実施し、ボットネットの作成と運用に責任を負う個人を逮捕することで、重要な役割を果たしています。
IoTデバイスはセキュリティが脆弱なため、しばしば標的にされる。これらのデバイスを保護するには、デフォルトのユーザー名とパスワードを変更し、不要な機能を無効にし、セキュリティ・アップデートを適用し、別のネットワーク・セグメントに分離する必要がある。
機械学習とAIは、膨大な量のデータを分析してボットネットの活動を示すパターンを特定し、潜在的な攻撃を予測し、検出された脅威への対応を自動化することで、ボットネット対策に大きく貢献できる。
長期的戦略には、高度な脅威検知・対応システムへの投資、サイバーセキュリティを意識する文化の醸成、サイバーセキュリティ情報共有コミュニティへの参加、サイバーセキュリティのベストプラクティスの提唱と遵守などが含まれる。