Qué es una botnet — y por qué tu router puede estar ya en una

Twitter, Netflix, Spotify, Reddit y PayPal se cayeron todos en la misma tarde, no por un fallo en sus propios centros de datos, sino porque decenas de miles de routers domésticos, cámaras y monitores para bebés habían pasado dos horas inundando a un único proveedor de DNS con 1,2 terabits de tráfico por segundo. Los dueños de esos dispositivos no tenían ni idea de que ocurría.

El ataque fue obra de Mirai, un malware que había reclutado silenciosamente unos 600.000 dispositivos conectados a internet escaneando en busca de aparatos protegidos solo con contraseñas predeterminadas de fábrica. La palabra «botnet» combina «bot» (abreviatura de robot software) y «network». Cada dispositivo infectado se denomina zombie: sigue funcionando con normalidad para su propietario mientras ejecuta en silencio órdenes de un operador criminal remoto.

Cómo se reclutan los dispositivos

Las botnets crecen a través de varias vías de infección. Los correos de phishing llevan archivos adjuntos maliciosos que instalan malware al abrirlos. El software sin parchear expone vulnerabilidades conocidas que los escáneres automáticos recorren internet para encontrar. Las descargas no solicitadas («drive-by downloads») comprometen los dispositivos cuando un usuario visita una página manipulada con código de explotación.

La vía de crecimiento más rápida es más simple: credenciales predeterminadas. Los routers, cámaras, televisiones inteligentes y unidades de almacenamiento en red suelen enviarse con contraseñas idénticas —«admin/admin», «admin/password»— que millones de usuarios nunca cambian. Mirai no requería nada más sofisticado que una lista de 61 pares de credenciales predeterminadas y acceso a puertos Telnet abiertos.

La infraestructura de mando

Una vez infectado, un dispositivo se une a una red de comando y control que permite al operador emitir instrucciones a miles o millones de máquinas a la vez. La arquitectura más simple utiliza un servidor central: eficiente, pero un único punto débil que las fuerzas de seguridad pueden desmantelar. Las botnets sofisticadas utilizan modelos peer-to-peer donde los bots se transmiten instrucciones entre sí, sin un único punto de estrangulamiento. Otras rotan sus direcciones de servidor cada pocos minutos —una técnica denominada DNS de flujo rápido— para eludir las listas de bloqueo.

Las operaciones patrocinadas por Estados adoptan un enfoque diferente. Volt Typhoon, un grupo vinculado a la inteligencia china que apunta a infraestructuras críticas de EE.UU., ha evitado por completo el malware desde al menos 2021, operando a través de herramientas legítimas del sistema y routers comprometidos que permanecen sin ser detectados durante meses enteros.

Qué hace realmente la red

El modelo de ingresos de una botnet es diverso. El DDoS como servicio es el producto más visible: alquilar capacidad de ataque a clientes que quieren dejar fuera de línea el sitio web de un competidor o un servicio gubernamental. Las campañas de spam enrutan miles de millones de correos de phishing a través de infraestructura infectada, rotando IPs constantemente para evitar listas de bloqueo. El relleno de credenciales utiliza nodos de botnet para probar pares de inicio de sesión robados en miles de servicios simultáneamente, distribuyendo los intentos lo suficientemente finos como para eludir los límites de tasa.

La criptominería secuestra ciclos inactivos de CPU y GPU del dispositivo para generar monedas de privacidad. El fraude de clics simula interacción publicitaria a gran escala. El modelo de servicio proxy puede ser el más rentable de todos: alquilar IPs infectadas como proxies residenciales a clientes que necesitan tráfico que parezca originarse en hogares reales en lugar de centros de datos. La red 911 S5, desmantelada por las autoridades estadounidenses en mayo de 2024, gestionó 28 millones de direcciones IP comprometidas como infraestructura de alquiler durante más de una década, generando unos 150 millones de dólares antes de que se revelaran las acusaciones federales.

Los casos que definieron la amenaza

Mirai estableció el estándar moderno de escala y consecuencias. Su ataque al proveedor de DNS Dyn interrumpió más servicios de internet en una sola tarde que cualquier evento anterior. Sus creadores publicaron después el código fuente, sembrando docenas de botnets sucesoras que siguen activas hoy.

Emotet funcionó desde 2014 como un troyano bancario y evolucionó hasta convertirse en una plataforma de botnet como servicio alquilada por otros grupos criminales. En su apogeo había infectado unos cuatro millones de dispositivos en 180 países. Una operación coordinada de nueve países lo desarticuló en enero de 2021. Se reconstruyó mediante acceso vendido por el grupo TrickBot y reanudó operaciones doce meses después.

Entre los casos recientes más relevantes: una red de proxies residenciales que convirtió en secreto 17 millones de dispositivos en infraestructura criminal de alquiler antes de que sus operadores fueran arrestados.

Cómo saber si tu dispositivo está infectado

La mayoría de los dispositivos comprometidos no dan señales dramáticas. Un uso constante de ancho de banda elevado cuando el dispositivo debería estar inactivo, actividad inesperada de la CPU, conexiones a IPs desconocidas visibles en los registros de tráfico del router, o notificaciones de tu proveedor de servicios de internet que señalan tráfico saliente inusual pueden indicar compromiso. Algunos ISP notifican activamente a los clientes cuando un dispositivo de su línea aparece en listas de bloqueo de botnets.

Reducir tu exposición

El paso más eficaz es cambiar las contraseñas predeterminadas de fábrica en todos los dispositivos conectados antes de conectarlos: routers, cámaras, impresoras, unidades de almacenamiento en red. Después: mantener el firmware actualizado en todos los dispositivos, desactivar Universal Plug and Play (UPnP) en el router a menos que lo uses activamente, y poner los dispositivos IoT en un segmento de red separado de los ordenadores que contengan datos sensibles.

El software de monitorización de red puede señalar conexiones salientes anómalas antes de que aparezcan en una alerta del ISP. Las herramientas existen. Los avisos de actualización aparecen. Las botnets son grandes porque la mayoría de la gente ignora ambos.

Etiquetas: ciberseguridad, malware, ddos, botnet, Mirai, seguridad IoT