Botnet

Czym jest botnet?

Botnet (z ang. robot + network) to sieć urządzeń podłączonych do internetu, które zostały zainfekowane złośliwym oprogramowaniem i podlegają zdalnej kontroli cyberprzestępcy.

Zainfekowane urządzenia – komputery osobiste, serwery korporacyjne, smartfony i urządzenia IoT (Internet of Things) – określa się mianem botów lub zombie. Z perspektywy użytkownika zainfekowany komputer działa pozornie normalnie, lecz w tle wykonuje polecenia operatora botnetu, zwanego botmasterem. Współczesne botnety umożliwiają masową, zautomatyzowaną działalność cyberprzestępców w 4 głównych kategoriach: rozproszonych atakach odmowy usługi (DDoS – Distributed Denial of Service), masowej dystrybucji spamu i phishingu, kradzieży poświadczeń oraz potajemnym wydobywaniu kryptowalut.

Według raportu CERT Polska za 2025 rok infrastruktura botnetów była zaangażowana w znaczną część incydentów związanych z dystrybucją złośliwego oprogramowania i atakami DDoS na polskie podmioty. Z tego powodu znajomość mechanizmów działania botnetów jest istotna dla każdej organizacji planującej ochronę swoich zasobów sieciowych.

Z jakich elementów składa się architektura botnetu i jak ona działa?

Architektura botnetu składa się z 2 elementów: serwera dowodzenia C&C (Command and Control) oraz populacji zainfekowanych urządzeń (botów). Serwer C&C to centralny węzeł, przez który botmaster wydaje zaszyfrowane instrukcje, aktualizuje złośliwe oprogramowanie i odbiera wykradzione dane.

Populacja botów wykonuje polecenia operatora – każde zainfekowane urządzenie realizuje otrzymane instrukcje w sposób niewidoczny dla właściciela. W praktyce oznacza to, że zainfekowany komputer firmowy może jednocześnie obsługiwać codzienne zadania pracownika i rozsyłać spam lub uczestniczyć w ataku DDoS.

Czym jest serwer Command and Control (C&C) w strukturze botnetu?

Serwer C&C (Command and Control) to infrastruktura komunikacyjna, za pośrednictwem której operator botnetu zarządza całą siecią zainfekowanych urządzeń. W praktyce funkcjonują 3 modele architektoniczne C&C, zestawione w poniższej tabeli:

Model	Mechanizm	Zalety	Wyzwania
Scentralizowany (Client-Server)	Boty komunikują się z jednym serwerem C&C przez HTTP/HTTPS lub IRC	Niskie opóźnienia, precyzyjna kontrola nad botami	Pojedynczy punkt awarii – przejęcie serwera może wyeliminować cały botnet
Zdecentralizowany (P2P – Peer-to-Peer)	Każdy bot działa jednocześnie jako klient i serwer, przekazując instrukcje sąsiednim węzłom	Brak centralnego punktu – odłączenie tysięcy botów nie dezaktywuje sieci	Wolniejsza propagacja komend, złożony kod źródłowy
Hybrydowy	Połączenie P2P jako mechanizmu przetrwania z serwerami C&C do szybkiej dystrybucji poleceń	Optymalny balans szybkości i odporności na przejęcie	Wysoka złożoność implementacji szyfrowanych protokołów

Przykładem architektury hybrydowej jest botnet Necurs, który dysponował populacją liczącą kilka milionów maszyn. W przypadku utraty głównego serwera C&C boty przełączały się na zapasowy kanał komunikacji P2P, co znacznie utrudniało całkowite przejęcie sieci przez organy ścigania.

W jaki sposób urządzenia stają się zainfekowanymi botami (komputerami zombie)?

Urządzenia stają się zainfekowanymi botami w wyniku 3-fazowego procesu, który jest zaprojektowany tak, aby umożliwić atakującym ciche budowanie zasobów obliczeniowych na długo przed ujawnieniem ich obecności.

Najpierw następuje faza rekrutacji – botmaster kompromituje urządzenia przez 3 główne wektory: kampanie phishingowe z zainfekowanymi załącznikami, eksploatację niezałatanych luk bezpieczeństwa w oprogramowaniu oraz ataki siłowe (brute force) na urządzenia z domyślnymi hasłami fabrycznymi (np. routery, kamery IP, rejestratory).

Następnie złośliwe oprogramowanie nawiązuje połączenie z serwerem C&C – proces ten określa się mianem beaconing. Zainfekowane urządzenie wysyła dyskretny sygnał zgłaszający gotowość i parametry techniczne: moc procesora, przepustowość łącza i wersję systemu operacyjnego. Dzięki temu operator wie, jakimi zasobami dysponuje.

W ostatnim etapie, po osiągnięciu odpowiedniej liczby zainfekowanych urządzeń, operator wydaje komendy wykonawcze i wszystkie boty synchronicznie realizują atak na wskazany cel. Złośliwe oprogramowanie wykorzystuje przy tym mechanizmy rootkitów (ukrytych procesów systemowych), aby ukryć swoją aktywność przed modułami antywirusowymi. Z tego powodu użytkownik zainfekowanego urządzenia zazwyczaj nie zauważa jawnej awarii systemu.

Jakie są 4 główne rodzaje ataków przeprowadzanych przy użyciu botnetów?

Botnet sam w sobie nie niszczy danych ani nie szyfruje plików. To infrastruktura, którą operator może wykorzystać do różnych celów – rodzaj ataku zależy od celu operatora i modelu monetyzacji. Wyróżnia się 4 główne kategorie:

• Ataki DDoS (Distributed Denial of Service) – polegają na jednoczesnym zalaniu celu sztucznym ruchem z tysięcy zainfekowanych urządzeń. Botnety mogą generować ataki wolumetryczne (wyczerpujące przepustowość łącza), protokołowe (obciążające zapory sieciowe, np. SYN Flood) oraz aplikacyjne (podszywające się pod legalny ruch na warstwie HTTP/HTTPS). Coraz częściej DDoS nie jest celem samym w sobie, lecz elementem szerszej kampanii – ma na celu odciągnąć uwagę zespołu SOC, podczas gdy atakujący mogą infiltrować sieć wewnętrzną i instalować ransomware.
• Masowe kampanie spamowe i phishingowe – botnety rozsyłają złośliwe wiadomości z autentycznych adresów IP zainfekowanych komputerów, które mają pozytywną historię reputacyjną i mogą omijać bramki antyspamowe. Załączniki zawierają ransomware, trojany bankowe lub oprogramowanie szpiegujące. Część sieci botnet oferuje tę infrastrukturę dystrybucji jako usługę komercyjną dla innych grup przestępczych – model ten zapoczątkowały m.in. sieci Necurs i Emotet.
• Ataki brute force na protokoły zdalnego dostępu (np. RDP) – każdy bot podejmuje niewielką liczbę prób logowania z innego adresu IP, co może omijać mechanizmy blokowania (throttling) skonfigurowane na zaporze sieciowej. Dzięki rozproszeniu na tysiące adresów atak wygląda jak niezwiązane ze sobą pojedyncze logowania. Przejęte urządzenia mogą następnie służyć jako anonimowe serwery proxy (pośredniczące), utrudniając identyfikację źródła ataku.
• Przejęcia urządzeń IoT (Internet of Things) – routery domowe, kamery monitoringu i rejestratory DVR są podatne na rekrutację z powodu domyślnych haseł fabrycznych, niskiej jakości firmware i braku aktualizacji bezpieczeństwa. Przejęte urządzenia IoT mogą generować ataki DDoS o natężeniu przekraczającym 1 Tb/s, ponieważ ich łączna przepustowość sieciowa jest ogromna. Po wycieku kodu botnetu Mirai powstał rynek DDoS-as-a-Service – wynajem ok. 50 000 urządzeń na 2 tygodnie kosztuje ok. 3 000–4 000 USD.

Jakie jest 5 kluczowych znaków, że komputer lub sieć jest częścią botnetu?

Infekcja botnetem zazwyczaj nie powoduje jawnej awarii systemu – symptomy są subtelne i łatwe do przeoczenia. Najważniejszymi wskaźnikami są spowolnienie systemu oraz niewyjaśniona aktywność sieciowa, ponieważ bezpośrednio wynikają z 2 stałych aktywności bota: konsumowania zasobów obliczeniowych i komunikacji z serwerem C&C. Pełna lista obejmuje 5 znaków, z których każdy dotyczy innego wymiaru obserwacji:

1. Niewyjaśnione spowolnienie systemu – komputer reaguje z opóźnieniem, aplikacje zawieszają się na kilka sekund, otwieranie nowych kart lub programów trwa znacznie dłużej niż zwykle. Przyczyną jest złośliwe oprogramowanie działające w tle, które zużywa zasoby procesora i pamięć RAM, wykonując polecenia operatora botnetu (np. wysyłanie spamu, udział w atakach DDoS, wydobywanie kryptowalut). Mechanizmy rootkitów mogą ukrywać te procesy w Menedżerze zadań, przez co użytkownik zauważa jedynie spowolnienie systemu, nie widząc jego rzeczywistej przyczyny.
2. Przegrzewanie i głośna praca wentylatorów przy niskim obciążeniu – laptop jest gorący w dotyku, wentylatory pracują z maksymalną prędkością, mimo że użytkownik jedynie czyta pocztę lub laptop ma zamkniętą pokrywę. Zjawisko to wskazuje na ciągłe, ukryte obciążenie procesora – najczęściej wydobywanie kryptowalut (cryptojacking), które obciąża CPU przez całą dobę. Na urządzeniach mobilnych objawem może być szybsze zużycie baterii.
3. Wyższe niż zwykle zużycie transferu danych – miesięczny limit danych wyczerpuje się szybciej, dostawca internetu sygnalizuje nietypowe zużycie lub strony internetowe ładują się wolniej mimo stabilnego łącza. Przyczyną może być przesyłanie wyeksfiltrowanych danych do serwera C&C, pobieranie aktualizacji złośliwego oprogramowania i generowanie ruchu wykorzystywanego w atakach (np. kampanie spamowe wysyłane z zainfekowanego komputera).
4. Aktywność urządzenia w godzinach bezczynności – wentylatory włączają się w nocy, dioda dysku miga, ekran budzi się, mimo że nikt nie korzysta z komputera. To sygnał, że bot otrzymuje i wykonuje polecenia operatora w godzinach, gdy użytkownik nie obserwuje systemu. Część operatorów celowo planuje aktywność botów na godziny nocne, aby zminimalizować ryzyko wykrycia.
5. Połączenia z nieznanymi adresami IP w logach zapory – zapora sieciowa lub narzędzie monitorujące (np. system SIEM) rejestruje regularne połączenia wychodzące do adresów IP lub domen, których nikt w organizacji nie autoryzował. Połączenia te mogą być kierowane do pseudolosowych domen generowanych przez algorytmy DGA (Domain Generation Algorithm) lub do adresów zmieniających się w krótkich cyklach (technika Fast-Flux). To bezpośredni ślad komunikacji bota z serwerem C&C.

Jakie działania i technologie wspierają skuteczną ochronę przed botnetami?

Skuteczna ochrona przed botnetami wymaga 2 równoległych strategii: prewencji infekcji nowych urządzeń i budowy odporności na ataki z istniejących botnetów.

Po stronie prewencji kluczowe jest wdrożenie programów zarządzania podatnościami (Vulnerability Management), uwierzytelniania wieloskładnikowego MFA (Multi-Factor Authentication), co istotnie ogranicza ryzyko przejęcia konta, oraz architektury Zero Trust zakładającej brak domyślnego zaufania do żadnego urządzenia w sieci.

W jaki sposób segmentacja sieci chroni przed rozprzestrzenianiem się botnetów?

Po stronie odporności na ataki kluczowe znaczenie mają skalowalne systemy filtracji anty-DDoS w chmurze, zapory aplikacyjne WAF (Web Application Firewall) i monitoring EDR (Endpoint Detection and Response). W praktyce organizacje łączą oba podejścia, aby zapewnić ochronę zarówno na etapie prewencji, jak i reagowania na incydent.

Segmentacja sieci chroni przed rozprzestrzenianiem się botnetów, dzieląc infrastrukturę na izolowane strefy i ograniczając ruch lateralny (lateral movement – przemieszczanie się atakującego między systemami wewnętrznymi). W rezultacie przejęcie jednego urządzenia w segmencie nie daje atakującemu dostępu do pozostałych stref sieci.

W architekturze Zero Trust każde połączenie między segmentami wymaga osobnej autoryzacji, co może blokować automatyczną propagację złośliwego oprogramowania i utrudniać botowi skanowanie sąsiednich podsieci w poszukiwaniu kolejnych podatnych urządzeń.

Jak systemy detekcji anomalii (IDS/IPS) blokują komunikację z serwerami C&C?

Systemy IDS/IPS (Intrusion Detection System / Intrusion Prevention System) mogą blokować komunikację z serwerami C&C poprzez analizę ruchu sieciowego w czasie rzeczywistym i identyfikację wzorców złośliwej komunikacji. IDS wykrywa i raportuje podejrzane połączenia; IPS automatycznie odrzuca ruch spełniający kryteria zagrożenia. 3 kluczowe mechanizmy detekcji to:

• Analiza sygnaturowa – rozpoznaje znane wzorce komunikacji botnetów na podstawie baz sygnatur aktualizowanych przez dostawców.
• Analiza behawioralna – wykrywa anomalny beaconing do nieznanych adresów IP na podstawie odstępstw od ustalonego profilu ruchu sieciowego.
• Korelacja z listami reputacyjnymi – blokuje połączenia z domenami i adresami IP zidentyfikowanymi jako serwery C&C.

Współpraca IDS/IPS z systemami SIEM (Security Information and Event Management) umożliwia korelację zdarzeń z wielu źródeł i minimalizuje liczbę fałszywych alarmów. Dyrektywa NIS 2 i krajowa ustawa o KSC (Krajowym Systemie Cyberbezpieczeństwa) nakładają na podmioty kluczowe i ważne obowiązek wdrożenia mechanizmów wykrywania incydentów, w tym monitoring komunikacji z infrastrukturą C&C.

Pojęcia powiązane z architekturą botnetów