¿Qué es una botnet y cómo ejecuta un DDoS?
Una botnet es una red de dispositivos infectados (computadores, routers, cámaras IP, equipos IoT) controlados de forma remota por un atacante a través de un servidor de comando y control (C2). Cuando el operador da la orden, todos los bots envían tráfico simultáneamente contra un mismo objetivo: es la base de los ataques distribuidos de denegación de servicio (DDoS), donde la 'D' de distribuido es precisamente la potencia de miles de fuentes atacando a la vez.
¿Por qué las botnets son tan peligrosas?
Al provenir el tráfico de miles de IPs legítimas repartidas por el mundo, es muy difícil distinguir a los bots de los usuarios reales y bloquearlos sin afectar el servicio. Botnets como Mirai demostraron que dispositivos IoT mal configurados —con contraseñas por defecto— pueden reclutarse por millones y generar ataques de cientos de Gbps o Tbps capaces de tumbar infraestructuras enteras.
¿Cómo defenderse de un ataque con botnet?
La defensa combina mitigación en el borde (servicios anti-DDoS con capacidad de absorción y scrubbing), rate limiting, listas de reputación de IP y análisis de comportamiento para separar tráfico humano del automatizado. Del lado de la prevención, evitar que sus propios dispositivos se conviertan en bots: cambiar credenciales por defecto, actualizar firmware y segmentar los equipos IoT.
Cómo se construye y se controla una botnet
El reclutamiento es casi siempre automático: escaneo masivo de internet buscando dispositivos con credenciales por defecto, servicios expuestos o vulnerabilidades sin parchear. Una vez dentro, el implante se registra en una infraestructura de mando y control. Las primeras botnets usaban canales de IRC, fáciles de localizar y desmantelar; las actuales emplean HTTP o HTTPS para confundirse con el tráfico normal, algoritmos de generación de dominios que producen miles de nombres candidatos al día, y topologías entre pares sin servidor central, precisamente para que tumbar un nodo no acabe con la red.
Mirai y el IoT: por qué cambió la escala
En 2016 Mirai demostró que no hacía falta comprometer ordenadores: bastaba con cámaras IP, grabadores de vídeo y routers domésticos que seguían con la contraseña de fábrica. Su lista de credenciales por defecto tenía apenas unas decenas de entradas y aun así reclutó cientos de miles de dispositivos, generando ataques por encima del terabit por segundo contra un proveedor de DNS y dejando sin servicio a buena parte de internet. Al publicarse su código fuente, aparecieron innumerables variantes, y ese modelo —dispositivos baratos, sin actualizaciones y conectados de forma permanente— sigue siendo la base de las botnets de hoy.
¿Cómo saber si sus equipos forman parte de una?
Las señales se ven en la red más que en el dispositivo: tráfico saliente a horas sin actividad humana, conexiones periódicas y regulares hacia un mismo destino desconocido, consultas DNS a dominios con nombres aleatorios, y picos de ancho de banda de subida en equipos que solo deberían recibir datos. En los propios aparatos, lentitud o recalentamiento sin motivo. La prevención efectiva es poco glamurosa: cambiar las credenciales de fábrica, mantener el firmware al día, cerrar la administración remota y poner el IoT en una red separada de la corporativa.
