From Wikipedia, the free encyclopedia
A botnet internetre csatlakoztatott eszközök összessége, amelyek mindegyike egy vagy több botot futtat. A botnetek felhasználhatók elosztott szolgáltatásmegtagadással járó (DDoS) támadások végrehajtására, adathalászatra,[1] spamek küldésére, és lehetővé teszik a támadó számára, hogy hozzáférjen az eszközhöz és annak kapcsolatához. A tulajdonos a botnetet parancs- és vezérlő (C&C) szoftverrel irányíthatja.[2] A "botnet" szó a "robot" és a "network" szavak összetételéből képzett szóösszetétel. A kifejezést általában negatív vagy rosszindulatú jelentéssel használják.
A botnet az internetre csatlakoztatott eszközök, például számítógépek, okostelefonok vagy a dolgok internete (IoT) eszközeinek logikai gyűjteménye, amelyek biztonságát megsértették, (köznapi nyelven: feltörték) és az irányítást átvette egy harmadik fél aki a "hacker". Minden egyes veszélyeztetett eszköz, amelyet "botnak" neveznek, akkor jön létre, amikor egy eszközbe behatol egy rosszindulatú szoftver (malware) terjesztéséből származó végrehajtandó kód. A botnet irányítója képes irányítani e kompromittált számítógépek tevékenységét a szabványokon alapuló hálózati protokollok, például az IRC és a Hypertext Transfer Protocol (HTTP) által kialakított kommunikációs csatornákon keresztül.[3][4] A botneteket a kiberbűnözők egyre gyakrabban adják bérbe árucikként különböző célokra.[5]
A botnetek felépítése az idők során sokat fejlődött, annak érdekében hogy elkerüljék a felderítést és az általuk végrehajtott interakció megszakítását. A botprogramok hagyományosan kliensként épülnek fel, amelyek a meglévő kiszolgálókon keresztül kommunikálnak. Ez lehetővé teszi a botherder (a botnet irányítója) számára, hogy minden irányítást egy távoli helyről végezzen, ami elhomályosítja a forgalmat.[6] Sok újabb botnet ma már a meglévő egyenrangú hálózatokra támaszkodik a kommunikációhoz. Ezek a P2P botprogramok ugyanazokat a műveleteket hajtják végre, mint a kliens-szerver modell, de nincs szükségük központi szerverre a kommunikációhoz.
Az első botnetek az interneten ügyfél-szerver modellt használtak feladataik elvégzésére.[7] Ezek a botnetek jellemzően Internet Relay Chat hálózatokon, tartományokon vagy webhelyeken keresztül működtek. A fertőzött kliensek egy előre meghatározott helyre lépnek be, és várják a szerverről érkező parancsokat. A botgazda parancsokat küld a szervernek, amely továbbítja azokat a klienseknek. A kliensek végrehajtják a parancsokat, és az eredményeket visszajelzik a botgazdának.
Az IRC botnetek esetében a fertőzött ügyfelek csatlakoznak egy szintén fertőzött IRC-kiszolgálóhoz, és csatlakoznak egy olyan csatornához, amelyet a botgazda előre kijelölt a C&C számára. A botgazda az IRC-kiszolgálón keresztül parancsokat küld a csatornának. Az egyes kliensek lekérdezik a parancsokat, és végrehajtják azokat. Az ügyfelek üzeneteket küldenek vissza az IRC-csatornára a műveleteik eredményéről.[6]
Az IRC botnetek felderítésére és kiiktatására tett erőfeszítésekre válaszul a botterjesztők rosszindulatú szoftvereket telepítenek a peer-to-peer hálózatokra. Ezek a botok digitális aláírást használhatnak, hogy csak az irányíthassa a botnetet, aki hozzáfér a privát kulcshoz.[8] Lásd pl. Gameover ZeuS és ZeroAccess botnet.
Az újabb botnetek teljes mértékben P2P-hálózatokon keresztül működnek. Ahelyett, hogy egy központi szerverrel kommunikálnának, a P2P botnetek parancselosztó szerverként és parancsokat fogadó kliensként is működnek,[9] így elkerülhető, hogy egyetlen hibapont legyen, ami a központosított botnetek esetében problémát jelent.
Más fertőzött gépek felkutatásához a bot diszkréten szondázza a véletlenszerű IP-címeket, amíg kapcsolatba nem lép egy másik fertőzött géppel. A megkeresett bot olyan információkkal válaszol, mint a szoftver verziója és az ismert botok listája. Ha az egyik bot verziója alacsonyabb, mint a másiké, akkor a frissítés érdekében fájlátvitelt kezdeményez.[8] Ily módon minden bot növeli a fertőzött gépek listáját, és az összes ismert bottal való rendszeres kommunikációval frissíti magát.
A botnet létrehozója (más néven "botherder" vagy "botgazda") távolról irányítja a botnetet. Ezt nevezik parancsnoklásnak és irányításnak (C&C). A műveletet végző programnak egy rejtett csatornán keresztül kell kommunikálnia az áldozat gépén (zombi számítógép) lévő klienssel.
Az IRC a kommunikációs protokollja miatt a C&C egyik kedvelt eszköze. A botgazda létrehoz egy IRC-csatornát, amelyhez a fertőzött ügyfelek csatlakozhatnak. A csatornára küldött üzeneteket a csatorna minden tagja megkapja. A botgazda beállíthatja a csatorna témáját úgy, hogy az a botnetet irányítsa. Például a botgazda :herder!herder@example.com TOPIC #channel DDoS www.victim.com
üzenete a #csatornához tartozó összes fertőzött ügyfelet figyelmezteti, hogy kezdjenek DDoS-támadást a www.victim.com weboldal ellen. Egy példa válasz :bot1!bot1@compromised.net PRIVMSG #channel I am DDoSing www.victim.com
egy bot kliens által küldött válasza figyelmezteti a bot botgazdát, hogy megkezdte a támadást.[8]
Egyes botnetek a jól ismert protokollok egyéni változatait valósítják meg. A megvalósítási különbségek felhasználhatók a botnetek felderítésére. A Mega-D például egy kissé módosított Simple Mail Transfer Protocol (SMTP) implementációval rendelkezik a spamképesség tesztelésére. A Mega-D SMTP-kiszolgálójának leállítása letiltja az összes olyan botnetet, amelyek ugyanarra az SMTP-kiszolgálóra támaszkodnak.[10]
Az informatikában a zombi számítógép az internetre csatlakoztatott számítógép, amelyet hacker, számítógépes vírus vagy trójai faló támadott meg, és távoli irányítással rosszindulatú feladatok elvégzésére használható. A zombi számítógépekből álló botneteket gyakran használják e-mail spamek terjesztésére és elosztott szolgáltatásmegtagadással járó támadások (DDoS) indítására. A zombi számítógépek tulajdonosai többnyire nincsenek tudatában annak, hogy rendszerüket ilyen módon használják. Mivel a tulajdonosok általában nem tudnak róla, ezeket a számítógépeket metaforikusan a zombikhoz hasonlítják. A több botnet-gép által koordinált DDoS-támadás is hasonlít egy zombihorda támadásához.[11] A számítástechnikai erőforrások ellopásának folyamatát, amely egy rendszer "botnethez" való csatlakozása következtében jön létre, néha "scrumping"-nak nevezik.[12]
A botnet irányítási és ellenőrzési (C&C) protokollokat számos módon valósították meg, a hagyományos IRC-megközelítéstől a kifinomultabb változatokig.
A telnet botnetek egy egyszerű C&C botnet protokollt használnak, amelyben a botok a fő parancsnoki szerverhez csatlakoznak, hogy a botnetnek otthont adjanak. A botokat egy szkript segítségével adják hozzá a botnethez, amely egy külső kiszolgálón fut, és IP-tartományokat vizsgál a telnet és SSH szerver alapértelmezett bejelentkezései után. Amint egy bejelentkezést talál, a szkennelőszerver megfertőzheti azt SSH-n keresztül rosszindulatú szoftverrel, amely a vezérlőszerverre pingel.
Az IRC-hálózatok egyszerű, alacsony sávszélességű kommunikációs módszereket használnak, ezért széles körben használják őket botnetek elhelyezésére. Ezek általában viszonylag egyszerű felépítésűek, és mérsékelt sikerrel használják őket DDoS-támadások és spamkampányok koordinálására, miközben folyamatosan képesek csatornát váltani, hogy elkerüljék a lekapcsolást. Egyes esetekben azonban bizonyos kulcsszavak puszta blokkolása is hatékonynak bizonyult az IRC-alapú botnetek megállításában. Az RFC 1459 (IRC) szabvány népszerű a botnetek körében. Az első ismert népszerű botnet-vezérlő szkript, a "MaXiTE Bot" az IRC XDCC protokollt használta a privát vezérlőparancsokhoz.
Az IRC használatával az egyik probléma az, hogy minden botkliensnek ismernie kell az IRC-kiszolgálót, a portot és a csatornát ahhoz, hogy a botnet számára hasznos legyen. A rosszindulatú szoftverek elleni szervezetek felismerhetik és leállíthatják ezeket a szervereket és csatornákat, így a botnet-támadás gyakorlatilag megállítható. Ha ez megtörténik, a kliensek továbbra is fertőzöttek maradnak, de jellemzően lappanganak, mivel nem tudnak kapnak utasításokat.[8] E probléma enyhítése érdekében a botnet több szerverből vagy csatornából is állhat. Ha az egyik szerver vagy csatorna működésképtelenné válik, a botnet egyszerűen átvált egy másikra. Az IRC-forgalom megfigyelésével még mindig lehetséges további botnet-kiszolgálók vagy -csatornák észlelése és megszakítása. A botnet ellenfelei potenciálisan még a vezérlési séma ismeretére is szert tehetnek, és parancsok helyes kiadásával utánozhatják a botgazdát.[13]
Mivel az IRC-hálózatokat és tartományokat használó botnetek többsége idővel leállítható, a hackerek a C&C-vel ellátott P2P botnetekre váltottak, hogy a botnetet rugalmasabbá és ellenállóbbá tegyék a kiiktatással szemben. .
Néhányan titkosítást is használtak, hogy biztosítsák vagy lezárják a botnetet mások elől, legtöbbször, amikor titkosítást használnak, az nyilvános kulcsú titkosítás, és kihívást jelentett mind a megvalósítás, mind a feltörés.
Sok nagy botnet inkább domaineket használ az IRC helyett (lásd Rustock botnet és Srizbi botnet). Általában golyóálló tárhelyszolgáltatóknál vannak elhelyezve. Ez a C&C egyik legkorábbi típusa. A zombi számítógép egy speciálisan kialakított weboldalhoz vagy tartomány(ok)hoz fér hozzá, amely az irányító parancsok listáját szolgálja ki. A weboldalak vagy domainek C&C-ként való használatának előnye, hogy egy nagy botnet hatékonyan irányítható és karbantartható egy nagyon egyszerűen és könnyen frissíthető kóddal.
A módszer használatának hátránya, hogy jelentős sávszélességet használ, és a domaineket a kormányzati szervek kis erőfeszítéssel gyorsan lefoglalhatják. Ha a botneteket irányító tartományokat nem foglalják le, akkor azok szintén könnyű célpontok, amelyeket szolgáltatásmegtagadási támadásokkal lehet kompromittálni.
A gyorsfolyamú DNS-ek segítségével meg lehet nehezíteni az irányító szerverek felkutatását, amelyek napról napra változhatnak. Az irányító szerverek DNS-tartományról DNS-tartományra is ugrálhatnak, a tartománygeneráló algoritmusok segítségével új DNS-neveket hozhatnak létre a vezérlő szerverek számára.
Egyes botnetek ingyenes DNS-hosztingszolgáltatásokat használnak, mint például a DynDns.org, No-IP.com és Afraid.org, hogy egy aldomaint a botokat rejtő IRC-kiszolgáló felé irányítsanak. Bár ezek az ingyenes DNS-szolgáltatások önmagukban nem fogadnak támadásokat, de referenciapontokat biztosítanak (gyakran a botnet futtatható programjába kódolva). Az ilyen szolgáltatások eltávolítása megbéníthatja az egész botnetet.
Sok más protokollhoz hasonlóan az FTP-vel is kísérleteztek, mint ellenőrzési csatornával. Manapság ez a típus nem gyakran fordul elő. Van azonban egy olyan bot-típus, amely rendszeresen használ FTP C&C-t, ez pedig az adathalász vagy banki adatokra irányuló trójai. Ezek a botok, mint például a Dumador vagy a Haxdoor, alapvetően keyloggerek, azzal a különbséggel, hogy sokkal kiterjedtebbek. Figyelik ("szimatolják") az adatforgalmat, amikor a felhasználó a kompromittált rendszeren szörföl az interneten. Ha a felhasználó egy titkosított weboldalra lép be (HTTPS), akkor a számítógépen maga is man-in-the-middle támadást hajt végre. Mivel ez a támadás magán az áldozat gépén zajlik, gyakran nevezik "man in the machine" támadásnak. A bot egy hamis weboldalt mutat be a felhasználónak. Ezzel a technikával lehetőség van hitelesítési adatok stb rögzítésére. Az ellopott adatokat ezután feltöltik egy FTP-kiszolgálóra, ahol a bot üzemeltetője fenntarthatja azokat. A bot-üzemeltetők általában részletes statisztikákat készítenek az adatokról és azok eredetéről.
A top 10 ország, ahol 2008-ban a botnet Irányító és ellenőrző szervereket azonosították:[14]
A nagy közösségi médiaoldalak,[15] például a GitHub,[16] a Twitter,[17][18] a Reddit,[19] az Instagram,[20] az XMPP nyílt forráskódú azonnali üzenet protokoll,[21] és a Tor rejtett szolgáltatások,[22] népszerű módjai a C&C szerverrel való kommunikációhoz a kilépési szűrés elkerülése érdekében.[23]
Ez a példa azt szemlélteti, hogyan jön létre és hogyan használják fel a botnetet rosszindulatú célokra.
Az újabb botok képesek automatikusan átvizsgálni a környezetüket, és a sebezhetőségek és gyenge jelszavak felhasználásával szaporodni. Általában minél több sebezhetőséget tud egy bot szkennelni és szaporítani, annál értékesebbé válik a botnetet irányító közösség számára.[24]
A számítógépek akkor válhatnak egy botnet részévé, ha rosszindulatú szoftvert futtatnak. Ezt úgy lehet elérni, hogy a felhasználókat drive-by letöltésre csábítják, (Olyan letöltések, amelyeket a felhasználó engedélyezett, de nem érti azok következményeit pl. olyan letöltések, amelyek ismeretlen vagy hamisított futtatható programot, ActiveX komponenst vagy Java appletet telepítenek) kihasználják a webböngésző sebezhetőségeit, vagy becsapják a felhasználót egy trójai program futtatására, amely érkezhet egy e-mail mellékletből. Ez a rosszindulatú szoftver általában olyan modulokat telepít, amelyek lehetővé teszik, hogy a számítógépet a botnet üzemeltetője irányítsa és ellenőrizze. A szoftver letöltése után "hazatelefonál" (újrakapcsolódási csomagot küld) a gazdaszámítógépnek. Amikor az újrakapcsolódás megtörténik, a trójai a megírásától függően törölheti magát, vagy jelen maradhat a modulok frissítése és karbantartása érdekében.
Bizonyos esetekben a botnetet ideiglenesen önkéntes hacktivisták hozták létre, mint például a Low Orbit Ion Cannon megvalósításai, amelyeket a 4chan tagjai használtak a Project Chanology során 2010-ben.[25]
A kínai Great Cannon of China lehetővé teszi a törvényes webböngészési forgalom módosítását az internet gerinchálózatán Kínában, hogy egy nagy átmeneti botnetet hozzanak létre nagy célpontok megtámadására. Például a GitHub megtámadása 2015-ben.[26]
A botnet-irányítók közösségében állandó és folyamatos küzdelem folyik arról, hogy ki rendelkezik a legtöbb bottal, a legnagyobb teljes sávszélességgel és a legtöbb "jó minőségű" fertőzött géppel, például egyetemi, vállalati vagy akár kormányzati gépekkel.[32] Bár a botneteket gyakran az őket létrehozó rosszindulatú szoftverről nevezik el, több botnet jellemzően ugyanazt a rosszindulatú szoftvert használja, de különböző entitások működtetik.[33]
A botnetek számos elektronikus csaláshoz használhatók. Ezek a botnetek rosszindulatú szoftverek, például vírusok terjesztésére használhatók, hogy átvegyék az irányítást a normál felhasználók számítógépe/szoftvere felett.[34] Azzal, hogy átveszik az irányítást valaki személyes számítógépe felett, korlátlan hozzáférést kapnak a személyes adatokhoz, beleértve a jelszavakat és a fiókok bejelentkezési adatait. Ezt hívják adathalászatnak. Az adathalászat az "áldozat" fiókjaihoz való bejelentkezési adatok megszerzése egy olyan linkkel, amelyre az "áldozat" rákattint, és amelyet e-mailben vagy sms-ben küldenek.[35] A Verizon felmérése szerint az elektronikus "kémkedési" esetek mintegy kétharmada adathalászatból származik.[36]
A botnetek földrajzi szétszóródása azt jelenti, hogy minden egyes újonnan felvett vírust egyesével kell azonosítani/elzárni/javítani, és ez korlátozza a szűrés előnyeit.
A számítógépes biztonsági szakértőknek sikerült megsemmisíteniük vagy megzavarniuk a rosszindulatú szoftverek parancsnoki és vezérlőhálózatát, többek között úgy, hogy lefoglalták a szervereket vagy elvágták őket az internettől, megtagadták a hozzáférést olyan domainekhez, amelyeket a rosszindulatú szoftverek a C&C infrastruktúrával való kapcsolatfelvételre használtak volna, és egyes esetekben betörtek magába a C&C hálózatba.[37][38][39] Erre válaszul a C&C-üzemeltetők olyan technikák alkalmazásához folyamodtak, mint például a C&C-hálózatuk más meglévő jóindulatú infrastruktúrára, például az IRC-re vagy a Torra való ráépítése, olyan peer-to-peer hálózati rendszerek használata, amelyek nem függenek semmilyen fix szervertől, valamint nyilvános kulcsú titkosítás használata a hálózatba való betörési vagy hamisítási kísérletek kivédésére.[40]
A Norton AntiBot a fogyasztókat célozta meg, de a legtöbb célpont a vállalatok és/vagy az internetszolgáltatók. A hoszt-alapú technikák a szokásos vírusirtó szoftvereket megkerülő bot viselkedésének azonosítására új találmányokat használnak. A hálózati alapú megközelítések általában a fent leírt technikákat használják; a C&C szerverek leállítása, a DNS-bejegyzések nullázása vagy az IRC-kiszolgálók teljes leállítása. A BotHunter egy, az amerikai hadsereg kutatási irodájának támogatásával kifejlesztett szoftver, amely a hálózaton belüli botnet-tevékenységet a hálózati forgalom elemzése és a rosszindulatú folyamatokra jellemző mintákkal való összehasonlítása révén észleli. A Sandia National Laboratories kutatói úgy elemzik a botnetek viselkedését, hogy egyidejűleg egymillió Linux kernelt futtatnak - ami egy botnethez hasonló méretarány - virtuális gépként egy 4480 csomópontos nagy teljesítményű számítógépes fürtön, hogy egy nagyon nagy hálózatot emuláljanak, így megfigyelhetik, hogyan működnek a botnetek, és kísérletezhetnek a megállításuk hatásos módjával.[41]
Az automatizált bot-támadások felderítése napról napra nehezebbé válik, mivel a támadók a botok újabb és kifinomultabb generációit hozzák létre. Egy automatizált támadás például nagy bothadsereget tud bevetni, és brute-force módszereket alkalmazhat rendkívül pontos felhasználónév- és jelszólistákkal a fiókok feltörésére. Az ötlet lényege, hogy a webhelyeket több tízezer kéréssel árasztják el a világ különböző IP-címeiről, de úgy, hogy minden egyes bot körülbelül 10 percenként csak egyetlen kérést küld, ami naponta több mint 5 millió próbálkozást eredményezhet.[42] Ezekben az esetekben sok eszköz megpróbálja kihasználni a volumetrikus érzékelést, de az automatizált bot-támadásoknak ma már vannak módszereik az efajta érzékelés kiváltóinak megkerülésére.
Az ilyen bot-támadások felderítésének egyik technikája az úgynevezett „szignatúra-alapú rendszerek”, amelyekben a szoftver megpróbál mintákat felismerni a kérési csomagban. A támadások azonban folyamatosan fejlődnek, így ez nem biztos, hogy életképes megoldás, ha a minták nem különböztethetők meg több ezer kérésből. A botok meghiúsítására létezik a viselkedésalapú megközelítés is, amely végső soron a botokat próbálja megkülönböztetni az emberektől. A nem emberi viselkedés azonosításával és az ismert botok viselkedésének felismerésével ez a folyamat a felhasználó, a böngésző és a hálózat szintjén is alkalmazható.
A vírus elleni küzdelem legképzettebb módszere a szoftverek felhasználásával a honeypot szoftverek felhasználása volt, hogy meggyőzzék a rosszindulatú programokat arról, hogy egy rendszer sebezhető. A rosszindulatú fájlokat ezután törvényszéki szoftverek segítségével elemzik. 2014. július 15-én az Egyesült Államok Szenátusa Igazságügyi Bizottságának Bűnözés és Terrorizmus Albizottsága meghallgatást tartott a botnetek által jelentett fenyegetésekről, valamint a botnetek megzavarására és felszámolására irányuló állami és magánerőforrásokból származó erőfeszítésekről.[43]
A nem rosszindulatú botnetek gyakran találhatók a Minecraftban olyan dolgok után kutatva, amelyek valamilyen különleges tulajdonsággal rendelkeznek, például a címképernyő és az alapértelmezett textúracsomag képe. Ezek a botnetek önkéntes alapon működnek, lehetővé téve bármely felhasználó számára, hogy "besorozza" a számítógépét a botnetbe, és később kivegye azt, amikor már nem akarja, hogy a botnetben legyen.
Az első botnetet először az EarthLink ismerte el és leplezte le a hírhedt spammerrel, Khan C. Smith-szel folytatott per során 2001-ben.[44] A botnetet tömeges spamek céljára építették, és akkoriban az összes spam közel 25%-át tette ki.[45]
2006 körül, egyes botnetek méretét csökkentették, hogy meghiúsítsák a felderítésüket.[46]
Létrehozás dátuma | Felszámolás időpontja | Név | A botok becsült száma | Spam-kapacitás (milliárd/nap) | Álnevek |
---|---|---|---|---|---|
2003 | MaXiTE | 500-1000 szerver | 0 | MaXiTE XDCC Bot, MaXiTE IRC TCL Script, MaxServ | |
2004 | Bagle botnet | 230,000[47] | 5.7 | Beagle, Mitglieder, Lodeight | |
Marina Botnet | 6,215,000[47] | 92 | Damon Briant, BOB.dc, Cotmonger, Hacktool.Spammer, Kraken | ||
Torpig | 180,000[48] | Sinowal, Anserin | |||
Storm botnet | 160,000[49] | 3 | Nuwar, Peacomm, Zhelatin | ||
2006 körül | 2011 Március | Rustock botnet | 150,000[50] | 30 | RKRustok, Costrat |
Donbot botnet | 125,000[51] | 0.8 | Buzus, Bachsoy | ||
2007 körül | Cutwail botnet | 1,500,000[52] | 74 | Pandex, Mutant (related to: Wigon, Pushdo) | |
2007 | Akbot | 1,300,000[53] | |||
2007 Március | 2008 November | Srizbi botnet | 450,000[54] | 60 | Cbeplay, Exchanger |
Lethic botnet | 260,000[47] | 2 | Nincs | ||
Xarvester | 10,000[47] | 0.15 | Rlsloup, Pixoliz | ||
2008 körül | Sality | 1,000,000[55] | Sector, Kuku | ||
2008 körül | Mariposa botnet | 12,000,000[56] | |||
2008 November | Conficker | 10,500,000+[57] | 10 | DownUp, DownAndUp, DownAdUp, Kido | |
2008 November | Waledac botnet | 80,000[58] | 1.5 | Waled, Waledpak | |
Maazben | 50,000[47] | 0.5 | Nincs | ||
Onewordsub | 40,000[59] | 1.8 | |||
Gheg | 30,000[47] | 0.24 | Tofsee, Mondera | ||
Nucrypt | 20,000[59] | 5 | Loosky, Locksky | ||
Wopla | 20,000[59] | 0.6 | Pokier, Slogger, Cryptic | ||
2008 körül | Asprox botnet | 15,000[60] | Danmec, Hydraflux | ||
Spamthru | 12,000[59] | 0.35 | Spam-DComServ, Covesmer, Xmiler | ||
2008 körül | Gumblar | ||||
2009 Május | BredoLab botnet | 30,000,000[61] | 3.6 | Oficla | |
2009 körül | 2012-07-19 | Grum botnet | 560,000[62] | 39.9 | Tedroo |
Mega-D botnet | 509,000[63] | 10 | Ozdok | ||
Kraken botnet | 495,000[64] | 9 | Kracken | ||
2009 Augusztus | Festi botnet | 250,000[65] | 2.25 | Spamnost | |
2010 Március | Vulcanbot | ||||
2010 Január | LowSec | 11,000+[47] | 0.5 | LowSecurity, FreeMoney, Ring0.Tools | |
2010 körül | TDL4 botnet | 4,500,000[66] | TDSS, Alureon | ||
Zeus (Trójai) | 3,600,000 (Csak USA)[67] | Zbot, PRG, Wsnpoem, Gorhax, Kneber | |||
2010 | (Néhány: 2011, 2012) | Kelihos botnet | 300,000+ | 4 | Hlux |
2011 vagy korábban | 2015-02 | Ramnit | 3,000,000[68] | ||
2012 körül | Chameleon botnet | 120,000[69] | Nincs | ||
2016 Augusztus | Mirai (malware) | 380,000 | Nincs | ||
2014 | Necurs botnet | 6,000,000 |
A Santa Barbara-i Kaliforniai Egyetem kutatói a vártnál hatszor kisebb botnet felett vették át az irányítást. Egyes országokban gyakori, hogy a felhasználók egy nap alatt többször is megváltoztatják IP-címüket. A botnet méretének becslését az IP-címek száma alapján gyakran használják a kutatók, ami valószínűleg pontatlan becslésekhez vezet.[70]