1. Descripción técnica
Una botnet es un conjunto de dispositivos comprometidos que reciben instrucciones de un operador mediante una infraestructura de Command and Control (C2). Cada dispositivo controlado se denomina bot. DDoS es uno de sus posibles usos, junto con spam, credential theft, proxying o distribución de malware.
La botnet no constituye por sí sola una vulnerabilidad. Su formación requiere una vía inicial de compromiso, un agente capaz de persistir o ejecutarse y un canal para recibir órdenes. Credenciales predeterminadas, servicios expuestos sin parches y software malicioso distribuido mediante phishing son rutas frecuentes, pero deben validarse para cada familia concreta.
1.1. Mecanismo
// renderizando diagrama…
2. Arquitecturas de Command and Control
2.1. C2 centralizado
Los bots consultan uno o varios servidores, dominios o canales controlados por el operador. Esta arquitectura simplifica la distribución de órdenes, pero introduce infraestructura cuya interrupción puede aislar una parte importante de la red.
2.2. C2 Peer-to-Peer
Los bots intercambian información con otros nodos y pueden propagar órdenes sin depender de un único servidor. La ausencia de un punto central aumenta la resiliencia, aunque la autenticidad de las órdenes y la pertenencia a la red siguen dependiendo del protocolo implementado por el malware.
3. Impacto y condiciones
Una botnet permite sumar ancho de banda y capacidad de cómputo de muchos dispositivos, distribuir el origen del tráfico y cambiar de objetivo mediante una orden. En DDoS, el resultado depende de la cantidad y conectividad de los bots, el vector utilizado y la capacidad de mitigación del destino.
Para que un dispositivo participe deben cumplirse tres condiciones: compromiso inicial, ejecución del agente y comunicación con el C2 o sus peers. Detectar tráfico hacia una dirección sospechosa no demuestra por sí solo que el host ejecutó una orden de ataque.
4. Validación y detección
La detección combina evidencias del endpoint y de la red:
- procesos, persistencia, binarios o firmware no autorizados;
- conexiones periódicas a dominios, IP o protocolos sin justificación operacional;
- patrones de beaconing y respuestas que transportan órdenes;
- exploración hacia otros dispositivos o intentos repetidos con credenciales predeterminadas;
- ráfagas de tráfico saliente coordinadas con otros hosts;
- indicadores específicos de la familia, verificados con fuentes actualizadas.
Debe preservarse una muestra y su contexto antes de atribuirla a una familia concreta. Un nombre como Mirai, Emotet o QakBot no debe asignarse sólo por similitud del comportamiento.
5. Mitigación y erradicación
- Corregir la vía de entrada: eliminar credenciales predeterminadas, aplicar parches y retirar servicios innecesarios.
- Aislar los dispositivos comprometidos y bloquear temporalmente la infraestructura C2 validada.
- Reinstalar desde una imagen confiable o actualizar el firmware cuando no pueda garantizarse la eliminación del agente.
- Rotar credenciales y claves que el dispositivo comprometido pudo observar.
- Aplicar filtrado de salida para limitar spoofing, exploración y comunicación no requerida.
- Segmentar IoT y otros equipos con mantenimiento limitado.
- Coordinar la interrupción de C2 con proveedores y autoridades competentes; desactivar infraestructura ajena no es una acción administrativa local.
Restablecer un dispositivo sin corregir la exposición puede hacer que vuelva a incorporarse a la botnet. Del mismo modo, bloquear un dominio C2 no elimina el malware ni cubre canales alternativos.
6. Clasificación
| Campo | Valor |
|---|---|
| Naturaleza | Infraestructura de dispositivos comprometidos |
| Control | Centralizado o Peer-to-Peer |
| Uso posible | DDoS, spam, proxying, fraude o distribución de malware |
| Dependencias | Compromiso, ejecución del agente y canal de control |