Motivation économique

L'aspect économique est primordial : la taille du botnet ainsi que la capacité d'être facilement contrôlé sont des éléments qui concourent à attirer l'activité criminelle, à la fois pour le propriétaire de botnet (parfois appelé « botherder » ou « botmaster ») que pour les utilisateurs, qui la plupart du temps louent les services d'un botnet pour l'accomplissement d'une tâche déterminée (envoi de pourriel, attaque informatique, déni de service^[8], vol d'information, etc). En avril 2009, un botnet de 1 900 000 machines^[11] mis au jour par la société Finjian engendrait un revenu estimé à 190 000 dollars par jour à ses « botmasters »^[12].

Motivation idéologique

En dehors de l'aspect économique, les attaques informatiques peuvent devenir une arme de propagande ou de rétorsion, notamment lors de conflits armés ou lors d'événements symboliques. Par exemple, lors du conflit entre la Russie et la Géorgie en 2008, le réseau géorgien a été attaqué sous de multiples formes (pour le rendre indisponible ou pour réaliser des défacements des sites officiels)^[13]. En 2007, une attaque d'importance contre l'Estonie a également eu lieu^[14] : la motivation des pirates serait le déplacement d’un monument en hommage aux soldats russes du centre de Tallinn^[15]. Début 2010, le Viêt Nam serait à l'origine d'un botnet visant à réduire au silence la dissidence politique^[16].

Motivation personnelle

La vengeance ou le chantage peuvent également faire partie des motivations des attaquants, sans forcément que l'aspect financier soit primordial : un employé mal payé^[17] ou des joueurs en ligne défaits^[4] peuvent chercher à se venger de l'employeur ou du vainqueur du jeu.

Via un canal de commande et contrôle (C&C)

• Canaux IRC^[18] (le premier historiquement), souvent sur un canal privé.

Via des canaux décentralisés

• P2P^{[9],[19],[18]}, pour ne plus dépendre d'un nœud central ;
• HTTP^[9],[18] (parfois via des canaux cachés^[20]), ce qui a pour principal avantage de ne plus exiger de connexion permanente comme pour les canaux IRC ou le P2P mais de se fondre dans le trafic web traditionnel ;
• Fonctions du Web 2.0^[18], en faisant une simple recherche sur certains mots-clés afin d'identifier les ordres ou les centres de commandes auxquels le réseau doit se connecter^[21].
• Il a même été mis en évidence un réseau de botnets utilisant Twitter comme centre de commande et de contrôle^[22].

Infection de la machine

C'est logiquement la phase initiale. La contamination passe souvent par l'installation d'un outil logiciel primaire, qui n'est pas forcément l'outil final. Cette contamination de la machine utilise les mécanismes classiques d'infection :

• Virus, qui peut prendre la forme de :
  • Logiciel malveillant en pièce-jointe ;
  • Cheval de Troie (fichier d'apparence anodine, comme des applications .exe ou des fichiers classiques) ;
  • Faille de navigateur ou de logiciel ;
  • P2P où le code malveillant se fait passer pour un fichier valide.
  • Intentionnel, comme les Botnet Locaux qui multiplie généralement les processus de flood.
• Combiné avec une action d'ingénierie sociale pour tromper l'utilisateur.

Activation

Une fois installée, cette base logicielle peut déclarer la machine à un centre de contrôle, qui la considèrera alors comme active. C'est une des clés du concept de botnet, à savoir que la machine infectée peut désormais être contrôlée à distance par une (ou plusieurs) machine tierce. Dans certains cas, d'autres phases sont nécessaires (auto-protection, mise à jour, etc) pour passer en phase opérationnelle.

Mise à jour

Une fois la machine infectée et l'activation réalisée, le botnet peut se mettre-à-jour, s'auto-modifier, ajouter des fonctionnalités, etc. Cela a des impacts importants sur la dangerosité du botnet, et sur la capacité des outils de lutte à enrayer celui-ci, car un botnet peut ainsi modifier sa signature virale et d'autres caractéristiques pouvant l'amener à être découvert et identifié.

Auto-protection

D'origine, ou après une phase de mise à jour, le botnet va chercher à s'octroyer les moyens de continuer son action ainsi que des moyens de dissimulation. Cela peut comporter :

• Installation de rootkits ;
• Modification du système (changement des règles de filtrage réseau, désactivation d'outils de sécurité, etc) ;
• Auto-modification (pour modifier sa signature) ;
• Suppression d'autres logiciels malveillants pouvant perturber le botnet ;
• Exploitation de failles du système hôte, etc.

Propagation

La taille d'un botnet est à la fois gage d'efficacité et de valeur supplémentaire pour les commanditaires et les utilisateurs du botnet. Il est donc fréquent qu'après installation, la machine zombie cherche à étendre le botnet :

• Par diffusion virale, souvent au cours d'une campagne de spam (liens web, logiciel malveillant en fichier joint, etc)
• Par scan :
  • Pour exploiter des failles qu'il saura reconnaître ;
  • Pour utiliser des backdoors connues ou déjà installées ;
  • Pour réaliser des attaques par force brute, etc.

Phase opérationnelle

Une fois le botnet installé et déclaré, la machine zombie peut obéir aux ordres qui lui sont donnés pour accomplir les actions voulues par l'attaquant (avec, au besoin, l'installation d'outils complémentaires via une mise à jour distante) :

• Envoi de spam ;
• Attaques réseau ;
• Participation au service de serveur DNS dynamique, ou DDNS (fast flux) ;
• Utilisation des ressources systèmes pour du calcul distribué (cassage de mot de passe), etc

Nombre de réseaux (botnets)

Au mois de février 2010, on estimait qu'il existait entre 4 000 et 5 000 botnets actifs^[24]. Ce chiffre est à considérer comme une fourchette basse, puisque les botnets gagnent en furtivité et que la surveillance de tout le réseau internet est impossible.

Taille d'un réseau

La taille d'un botnet varie mais il devient courant qu'un réseau puisse comprendre des milliers de machines zombies. En 2008, lors de la conférence RSA, le top 10 des réseaux comprenait de 10 000 à 315 000 machines, avec une capacité d'envoi de mail allant de 300 millions à 60 milliards par jour (pour Srizbi, le plus important botnet à cette date)^[25].

Fin 2009, MessageLabs donnait le top 10 suivant^[26] :

Nombre total de machines infectées

Dans son rapport de 2009, la société MessageLabs estime également que 5 millions de machines^[26] sont compromises dans un réseau de botnets destiné au spam.