بیشتر دستگاه‌هایی که به اینترنت وصل میشن — از لپ‌تاپ گرفته تا موبایل و حتی دوربین‌های هوشمند — می‌تونن هدف حملات سایبری قرار بگیرن. یکی از رایج‌ترین روش‌هایی که هکرها از اون برای سوءاستفاده از این دستگاه‌ها استفاده می‌کنن، چیزی به اسم Botnet (بات‌نت) هست.

Botnet در ظاهر شاید پیچیده به‌نظر برسه، ولی در واقع مفهوم ساده‌ای داره:
گروهی از دستگاه‌های آلوده که همه با هم و تحت فرمان یک نفر (هکر یا مهاجم) کار می‌کنن. این دستگاه‌ها مثل یه ارتش پنهانی هستن که بدون اطلاع صاحبانشون، به انجام کارهای مخرب مثل ارسال اسپم، حملات DDoS یا استخراج رمزارز مشغولن.

Botnet چیست؟

کلمه‌ی Botnet از دو بخش تشکیل شده:

• Bot (روبات) یعنی سیستمی که خودش به‌صورت خودکار کاری انجام می‌ده.
• Net (شبکه) یعنی مجموعه‌ای از این روبات‌ها که با هم در ارتباط هستن.

بنابراین Botnet یعنی شبکه‌ای از روبات‌های آلوده به بدافزار که از راه دور کنترل می‌شن.

بعنوان مثال فرض کن لپ‌تاپ یا مودم خونگی تو بدون اینکه بدونی، یه فایل آلوده دانلود کرده باشه. اون فایل یه برنامه‌ی مخفی نصب می‌کنه که باعث می‌شه دستگاهت به سرور یه هکر متصل بشه. حالا اون هکر می‌تونه به هزاران دستگاه دیگه هم همین کار رو بکنه، و همه‌ی اون‌ها با هم یه Botnet رو تشکیل بدن.

Bot و Zombie یعنی چه؟

Bot یعنی چی؟

کلمه‌ی Bot کوتاه‌شده‌ی Robot هست، یعنی ربات.
در دنیای سایبری، Bot به یه سیستم آلوده گفته میشه که بدون اجازه‌ی صاحبش، کارهایی رو انجام میده که یه هکر بهش دستور داده. این کارها می‌تونه چیزای مختلفی باشه، مثل:

• ارسال ایمیل اسپم،
• شرکت در حمله DDoS،
• یا حتی استخراج رمزارز برای هکر.

Bot خودش تصمیم نمی‌گیره، فقط دستور می‌گیره و اجرا می‌کنه، دقیقاً مثل یه ربات.
بعضی Botها هر چند دقیقه با یه سرور خاص تماس می‌گیرن تا ببینن دستور جدیدی هست یا نه. به اون سرور می‌گن C2 Server (Command and Control Server).

بعنوان مثال فرض کن یه بدافزار وارد لپ‌تاپت میشه. اون بدافزار کاری می‌کنه که سیستم هر ۵ دقیقه یه درخواست به یه سایت خاص بفرسته و بگه:

من حاضرم، دستور بعدی چیه؟
هکر هم می‌تونه بهش بگه مثلاً برو فلان سایت رو با ترافیک زیاد بمبارون کن (DDoS Attack).
تو حتی نمی‌فهمی، ولی دستگاهت داره توی یه حمله شرکت می‌کنه.
این یعنی دستگاهت شده یه Bot.

Zombie یعنی چی؟

Zombie یعنی مرده‌ی زنده.
در دنیای سایبری هم همین مفهوم رو داره.
یه Zombie System یعنی دستگاهی که روشنه و داره کار می‌کنه، ولی دیگه کنترلش دست صاحبش نیست.

در ظاهر، لپ‌تاپ یا موبایل مشکلی نداره. حتی ممکنه کاربرش باهاش کار کنه، ولی در پشت صحنه، اون سیستم داره برای یه هکر کار می‌کنه.

بعنوان مثال: فرض کن یه سرور شرکت، به خاطر یه آسیب‌پذیری آلوده میشه. همه چیز ظاهراً عادیه — سرور بالا میاد، درخواست‌ها رو جواب میده — اما در پس‌زمینه داره هر شب ساعت ۲ صبح فایل‌های حساس رو برای یه IP ناشناس می‌فرسته.
در این حالت اون سرور یه Zombie حساب میشه، چون ظاهرش نرماله ولی در واقع کنترلش از بین رفته.

تفاوت Bot و Zombie

در واقع از نظر فنی فرق خاصی بینشون نیست. هر Zombie یه Bot حساب میشه.
فقط دید ما فرق داره:

• وقتی از دید هکر نگاه می‌کنی، اون سیستم یه Botـه (چون داره براش کار می‌کنه).
• وقتی از دید قربانی نگاه می‌کنی، اون سیستم یه Zombieـه (چون دیگه کنترلش رو نداره).

Botnet چگونه ساخته می‌شود؟

مهاجم در ابتدا یک بدافزار طراحی می‌کند یا آن را از بازارهای زیرزمینی تهیه می‌کند. بعد، این بدافزار را از طریق روش‌هایی مثل فیشینگ، پیوست‌های آلوده، یا سوءاستفاده از ضعف‌های امنیتی سیستم‌ها پخش می‌کند تا دستگاه‌های مختلف آلوده شوند. وقتی کاربر فایل آلوده را باز می‌کند، بدافزار روی سیستم نصب می‌شود و طوری تنظیم می‌شود که بعد از هر بار روشن شدن دستگاه، همچنان فعال بماند.

بعد از آن، دستگاه آلوده به سرور اصلی مهاجم وصل می‌شود و منتظر دریافت دستور می‌ماند. در این مرحله مهاجم می‌تواند هر نوع فرمانی را برای دستگاه‌ها بفرستد، مثل شرکت در حمله‌های انکار سرویس (DDoS)، ارسال انبوه پیام‌های اسپم، سرقت اطلاعات حساس، یا حتی استخراج رمزارز برای خودش.

برای اینکه شبکه‌اش شناسایی نشود، مهاجم به‌صورت مداوم بدافزار را به‌روزرسانی می‌کند، مسیرهای ارتباطی را تغییر می‌دهد و روش‌های مخفی‌کاری جدید به آن اضافه می‌کند. در ادامه، تلاش می‌کند تعداد سیستم‌های آلوده را بیشتر کند تا شبکه‌اش قوی‌تر شود. در پایان، از این شبکه‌ی بزرگ سود مالی به‌دست می‌آورد؛ گاهی خودش از آن برای حمله استفاده می‌کند و گاهی هم دسترسی به دستگاه‌های آلوده را به دیگران می‌فروشد یا اجاره می‌دهد.

C2 Server چیست؟

C2 Server (Command & Control) یعنی سرور فرماندهی که مهاجم از طریق آن با دستگاه‌های آلوده (بات‌ها) ارتباط برقرار می‌کند، دستور می‌دهد و داده‌ها را جمع‌آوری می‌کند.

وظایف اصلی C2 شامل ارسال دستورات (commanding)، جمع‌آوری داده‌ها (data exfiltration)، مدیریت گروهی بات‌ها (orchestration / botnet management) و توزیع به‌روزرسانی یا ماژول‌های جدید به بات‌ها (payload/module distribution) است. خلاصه اینکه C2 هم مغز تصمیم‌گیر و هم کانال گزارش‌دهی شبکهٔ آلوده است.

بات‌نت‌ها معمولاً چه حمله‌هایی انجام می‌دن؟

حملهٔ انکار سرویس توزیع‌شده (DDoS)
بات‌نت‌ها می‌تونن هم‌زمان حجم بسیار بالایی از درخواست یا ترافیک به سمت یک سرویس یا سرور بفرستن تا اون سرویس از دسترس خارج بشه. مثال: صدها هزار دستگاه آلوده هم‌زمان به یک سایت خبری فشار میآرن و پورت‌های وب رو اشغال می‌کنن

کمپین‌های ارسال هرزنامه (Spam Campaigns / Email Spam)
بات‌ها منبع ارزان و مقیاسی برای ارسال میلیون‌ها ایمیل فیشینگ یا تبلیغاتی هستند. مثال: ده‌ها هزار بات هر روز ایمیل حاوی لینک مخرب به لیستی از آدرس‌ها می‌فرستن

تست اعتبارنامه / Credential Stuffing
هکرها با استفاده از فهرست‌های لو رفته از نام‌کاربری/رمزعبور، از بات‌نت برای آزمون اتوماتیک ورود به سرویس‌ها استفاده می‌کنند. مثال: بات‌ها با ترکیب‌های مختلف به صفحهٔ ورود یک سرویس حمله می‌کنن تا حساب‌های قابل دسترسی پیدا کنن.

سخن آخر Botnet فقط یه بدافزار ساده نیست؛ یه زنجیره‌ی پیچیده از آلودگی، فرماندهی، پنهان‌کاری و سوءاستفاده است.
نقش یک SOC Analyst اینه که با ترکیب داده‌ها، لاگ‌ها و رفتارها، اون زنجیره رو بشکنه و جلوی ادامه فعالیتش رو بگیره.
درک عمیق از الگوهای رفتاری، ترافیک شبکه و روش‌های پنهان‌سازی، کلید اصلی مقابله با این نوع تهدیده.