サムネイル|DDoS攻撃を示すStacheldrahtボットネットの図（これはボットネットのクライアント・サーバーモデルの一例でもある）。 ボットネット（）とは、それぞれが1つ以上のボットを実行する、インターネットに接続されたデバイスのグループである。ボットネットは、分散型サービス拒否（DDoS）攻撃の実行、データの窃取、スパムの送信、攻撃者によるデバイスとその接続へのアクセスの許可などに使用される。所有者は、コマンド＆コントロール（C&C）ソフトウェアを使用してボットネットを制御することができる。「ボットネット」という言葉は、「ロボット（robot）」と「ネットワーク（network）」を組み合わせたかばん語である。この用語は通常、否定的または悪意のあるニュアンスで使用される。
一般にサイバー犯罪者がトロイの木馬やその他の悪意あるプログラムを使用して乗っ取った多数のゾンビコンピュータで構成される脅威とは：FAQ Kaspersky Labs。サイバー犯罪者の支配下に入ったコンピュータは、使用者本人の知らないところで犯罪者の片棒を担ぐ加害者（踏み台など）になりうる危険性があるサイバークリーンセンター ボット ウイルスとは。ボットネットにおいて、指令者（ボットハーダーまたはボットマスターもしくは単にハーダーという）を特定することは、ボットネットの性質上非常に困難である。そのため、近年では組織化された犯罪者集団がボットネットを構築し、多額の金銭を得ているボットネットの概要 PDF形式。
概要 ボットネットとは、コンピュータ、スマートフォン、またはモノのインターネット（IoT）デバイスなど、セキュリティが破られ、第三者に制御が譲渡された、インターネット接続デバイスの論理的な集合体である。侵害された各デバイスは「ボット」と呼ばれ、デバイスがマルウェア（悪意のあるソフトウェア）の配布元からのソフトウェアに侵入されたときに作成される。ボットネットの管理者は、インターネット・リレー・チャット（IRC）やHypertext Transfer Protocol（HTTP）などの通信プロトコルによって形成される通信チャネルを通じて、これらの侵害されたコンピュータの活動を指示することができる。
例として、通信手段に2ちゃんねる等の掲示板を使ったケースがある。ある一定の規則でスレッドを立て、そのスレッドにエンコードされた書き込みを行うと、そのスレッドを監視している感染ノードが対象のスレッドを荒すと言うものである (Sufiage.Cなど“遠隔操作ウイルス”、その表の顔の1つは「痴漢君（Chikan.exe）」命令を受けて２ちゃんねるへの攻撃を行なうボット「Trojan.Sufiage.C」) 。また、Twitterやインスタントメッセンジャーや他のP2Pファイル共有プロトコルを通信手段に使った例も存在する。
所有者の許可なくデバイスにアクセスしたり制御したりするためにボットネットを運用、構築、または使用することは、ほとんどの管轄区域で違法であり、ハッキング、詐欺、または関連するサイバー犯罪として定期的に起訴される。法執行機関や民間団体も、ボットネットを解体するために法的手段を用いるが、これらのテイクダウンは法や憲法に関する別の問題を引き起こす。
ボットネットコントローラーのコミュニティは、誰が最も多くのボット、最大の総帯域幅、および大学、企業、さらには政府のマシンのような「高品質」な感染マシンを最も多く持っているかを常に競い合っている。ボットネットは、ブーター（booter/stresser）サービスを含め、様々な目的の商品としてサイバー犯罪者によって貸し出されることが増えている。ボットネットは作成元のマルウェアにちなんで名付けられることが多いが、通常、複数のボットネットが同じマルウェアを使用しながら、異なる事業体によって運営されている。
アーキテクチャ ボットネットのアーキテクチャは、検知や解体を逃れるために時間をかけて進化してきた。従来、ボットプログラムは、既存のサーバーを介して通信するクライアントとして構築される。これにより、ボットハーダー（ボットネットの管理者）は離れた場所からすべての制御を行うことができ、トラフィックを難読化することができる。最近のボットネットの多くは、通信に既存のP2Pネットワークに依存している。これらのP2Pボットプログラムはクライアント・サーバーモデルと同じアクションを実行するが、通信に中央サーバーを必要としない。
クライアント・サーバーモデル 右|サムネイル|258x258ピクセル|個々のクライアントが中央サーバーにサービスやリソースを要求する、クライアントサーバモデルに基づくネットワーク インターネット上の初期のボットネットは、タスクを遂行するためにクライアント・サーバーモデルを使用していた。通常、これらのボットネットはインターネット・リレー・チャットネットワーク（IRC）、ドメイン、またはウェブサイトを通じて機能する。感染したクライアントは予め決められた場所にアクセスし、サーバーから送られてくるコマンドを待機する。ボットハーダーはサーバーにコマンドを送信し、サーバーはそれをクライアントに中継する。クライアントはコマンドを実行し、その結果をボットハーダーに報告する。
ボットネットのノードは感染するとダイナミックDNSや応答の速いドメイン登録業者のサービスを使って登録されたドメイン名を使って、IRCサーバに接続する。IRCに接続したノードはそのIRCの然るべきチャンネルに参加し、自分の存在をチャンネルの参加者に伝え、命令を待つ一種のIRCボットとなる。命令はユーザとして参加している指令者のIRCの発言として為され、命令を受け取ったノードはその命令を実行する。
IRCサーバもまたコンピュータウイルスに感染したコンピュータによって構成されていることが多く、ひとつのIRCサーバが止められてもボットネット全体が止まることは無く、指令者の接続元を突き止めるのは困難になっている。このように、ノードの生成/消滅にかかわらず接続性を保証するためにDomain Name Systemに依存しているため、対応にはドメインの提供者の協力が必要になる。
ピア・ツー・ピア サムネイル|258x258ピクセル|相互接続されたノード（「ピア」）が、中央集権的な管理システムを使用せずに互いにリソースを共有するピア・ツー・ピア（P2P）ネットワーク IRCボットネットの検知と解体への対策として、ボットハーダーはP2Pネットワーク上にマルウェアを展開し始めた。これらのボットは、Gameover ZeuSやZeroAccessボットネットのように、秘密鍵にアクセスできる者だけがボットネットを制御できるようにデジタル署名を使用することがある。
より新しいボットネットは、P2Pネットワーク上で完全に機能する。P2Pボットは中央サーバーと通信するのではなく、コマンドを配信するサーバーと、コマンドを受信するクライアントの両方の役割を果たす。これにより、中央集権型のボットネットの問題である単一障害点を持つことを回避できる。
他の感染したマシンを見つけるために、P2Pボットは別の感染したマシンを特定するまで、ランダムなIPアドレスを密かに調査する。連絡を受けたボットは、ソフトウェアのバージョンや既知のボットのリストなどの情報を返信する。どちらかのボットのバージョンが古い場合、アップデートのためのファイル転送が開始される。このようにして、各ボットは感染したマシンのリストを増やし、定期的にすべての既知のボットと通信することで自身を更新する。
コマンド＆コントロール（C&C） コマンド＆コントロール（C&C）とは、攻撃者（ボットマスター）がマルウェアに感染したコンピュータ（ボット）群に対して、命令を送ったり情報を収集したりするための仕組みや通信経路全体を指す。
ボットネットの作成者（「ボットハーダー」または「ボットマスター」と呼ばれる）は、ボットネットを遠隔から制御する。ボットマスターは、自分のコンピュータから直接個々のボットを操作するのではなく、「C&Cサーバ（C2サーバ）」という中継地点を介して操作を行う。運用プログラムは、被害者のマシン（ゾンビコンピュータ）上のクライアントとカバートチャネルを介して通信を行う。
制御プロトコル IRCは、その通信プロトコルの特性から、歴史的にC&Cの手段として好まれてきた。ボットハーダーは感染したクライアントが参加するためのIRCチャンネルを作成する。チャンネルに送信されたメッセージは、チャンネルの全メンバーにブロードキャストされる。ボットハーダーは、チャンネルのトピックを設定してボットネットにコマンドを出すことがある。例えば、ボットハーダーからの :[email protected] TOPIC #channel DDoS www.victim.com というメッセージは、#channelに属するすべての感染クライアントに対し、ウェブサイトwww.victim.comへのDDoS攻撃を開始するよう警告する。ボットクライアントによる :[email protected] PRIVMSG #channel I am DDoSing www.victim.com という応答例は、攻撃を開始したことをボットハーダーに知らせる。
一部のボットネットは、よく知られたプロトコルのカスタムバージョンを実装している。この実装の違いは、ボットネットの検知に使用されることがある。例えば、Mega-Dは、スパム機能をテストするためにわずかに変更されたSimple Mail Transfer Protocol（SMTP）の実装を特徴としている。Mega-DのSMTPサーバーを停止させると、同じSMTPサーバーに依存しているボットのプール全体が無効になる。
ゾンビコンピュータ 計算機科学において、ゾンビコンピュータとは、インターネットに接続されたコンピュータのうち、ハッカー、コンピュータウイルス、またはトロイの木馬によって侵害され、遠隔操作の下で悪意のあるタスクを実行するために使用される可能性のあるものを指す。ゾンビコンピュータのボットネットは、多くの場合、電子メールスパムの拡散やサービス拒否攻撃（DDoS）の開始に使用される。ゾンビコンピュータの所有者の多くは、自分のシステムがこのように使用されていることに気づいていない。所有者が気付いていない傾向があるため、これらのコンピュータは比喩的にゾンビに例えられる。また、複数のボットネットマシンによる組織的なDDoS攻撃は、ゾンビの群れによる攻撃にも似ている。
システムがボットネットに参加させられた結果として計算資源が盗まれるプロセスは、時折「スクランピング（scrumping）」と呼ばれることがある。
コマンド＆コントロールプロトコルの種類 ボットネットのコマンド＆コントロールプロトコルは、従来のIRCアプローチからより洗練されたバージョンまで、様々な方法で実装されてきた。
Telnet Telnetボットネットは、ボットがボットネットをホストするメインコマンドサーバーに接続するという、シンプルなC&Cボットネットプロトコルを使用する。ボットは、外部サーバー上で動作し、TelnetおよびSSHサーバーのデフォルトログインを求めてIPレンジをスキャンするスキャンスクリプトを使用することで、ボットネットに追加される。ログインが見つかると、スキャンサーバーはSSHを通じてマルウェアに感染させることができ、そのマルウェアはコントロールサーバーにpingを送信する。
IRC IRCネットワークは、シンプルで低帯域幅の通信方法を使用するため、ボットネットのホストとして広く使用されている。これらは構造が比較的シンプルである傾向があり、DDoS攻撃やスパムキャンペーンの調整にある程度の成功を収めつつ、継続的にチャンネルを切り替えてテイクダウンを回避することができる。しかし、場合によっては、特定のキーワードをブロックするだけで、IRCベースのボットネットを阻止するのに効果的であることが証明されている。（IRC）規格はボットネットで人気がある。最初に普及した既知のボットネットコントローラースクリプト「MaXiTE Bot」は、プライベートな制御コマンドにIRC XDCCプロトコルを使用していた。
IRCを使用する際の問題の1つは、各ボットクライアントがボットネットとして機能するためにIRCサーバー、ポート、およびチャンネルを知っていなければならないことである。マルウェア対策組織は、これらのサーバーやチャンネルを検知してシャットダウンし、ボットネットの攻撃を事実上阻止することができる。これが発生した場合、クライアントは感染したままであるが、指示を受け取る方法がないため通常は休眠状態になる。この問題を軽減するために、ボットネットは複数のサーバーやチャンネルで構成されることがある。サーバーまたはチャンネルの1つが無効になった場合、ボットネットは単に別のものに切り替わる。IRCトラフィックをスニッフィングすることで、追加のボットネットサーバーやチャンネルを検知し、解体することは依然として可能である。ボットネットの敵対者は、制御スキームの知識を得て、コマンドを正しく発行することでボットハーダーを模倣することさえできる可能性がある。
P2P IRCネットワークやドメインを使用するほとんどのボットネットは時間とともに解体される可能性があるため、ハッカーはボットネットの回復力を高め、終了に抵抗するために、C&Cを備えたP2Pボットネットへと移行している。
一部のハッカーは、ボットネットを他者から保護またはロックダウンする方法として暗号化を使用しており、ほとんどの場合、暗号化を使用する際は公開鍵暗号であり、その実装と解読の両方に課題をもたらしている。
ドメイン 大規模なボットネットの多くは、その構築においてIRCよりもドメインを使用する傾向がある。これらは通常、防弾ホスティングサービスでホストされている。これは最も初期のC&Cタイプの1つである。ゾンビコンピュータは、制御コマンドのリストを提供する特別に設計されたウェブページまたはドメインにアクセスする。C&Cとしてウェブページやドメインを使用する利点は、大規模なボットネットを、容易に更新可能な非常にシンプルなコードで効果的に制御および維持できることである。
この方法を使用する欠点は、大規模になるとかなりの帯域幅を使用することと、政府機関によってドメインが容易に押収される可能性があることである。ボットネットを制御するドメインが押収されない場合でも、サービス拒否攻撃によって侵害されやすい標的となる。
Fast-flux DNSは、日々変化する可能性のあるコントロールサーバーを追跡しにくくするために使用されることがある。コントロールサーバーはDNSドメインからDNSドメインへと移動し、コントローラーサーバーの新しいDNS名を作成するためにドメイン生成アルゴリズムが使用される。
一部のボットネットは、DynDns.org、No-IP.com、Afraid.orgなどの無料のDNSホスティングサービスを使用して、サブドメインをボットを潜伏させているIRCサーバーに向ける。これらの無料DNSサービス自体は攻撃をホストしないが、リファレンスポイント（多くの場合、ボットネットの実行可能ファイルにハードコードされている）を提供する。このようなサービスを削除することで、ボットネット全体を機能不全に陥れることができる。
その他 GitHub、Twitter、Reddit、Instagramなどの人気サイトへのコールバック、オープンソースのインスタントメッセージプロトコルであるXMPP、およびTorの秘匿サービスは、C&Cサーバーと通信するためのエグレスフィルタリングを回避する一般的な方法である。
手法
従来の方法 この例は、ボットネットがどのように作成され、悪意のある利益のために使用されるかを示している。
ハッカーはトロイの木馬やエクスプロイトキットを購入または構築し、それを使用してユーザーのコンピュータへの感染を開始する。そのペイロードは悪意のあるアプリケーション、すなわちボットである。 ボットは感染したPCに、特定のコマンド＆コントロール（C&C）サーバーに接続するよう指示する。（これにより、ボットマスターはいくつのボットがアクティブでオンラインであるかのログを保持できる。） ボットマスターはその後、ボットを使用してキーストロークを収集したり、フォームグラビングを使用してオンライン認証情報を盗み出したりする可能性があり、DDoSやスパムとしてのサービスとしてボットネットを貸し出したり、利益のためにオンラインで認証情報を販売したりすることがある。 ボットの品質と機能に応じて、その価値は増減する。
より新しいボットは、環境を自動的にスキャンし、脆弱性や脆弱なパスワードを使用して自己伝播することができる。一般的に、ボットがスキャンして伝播できる脆弱性が多ければ多いほど、ボットネットコントローラーのコミュニティにとっての価値は高くなる。
悪意のあるソフトウェアを実行すると、コンピュータがボットネットに組み込まれる可能性がある。これは、ユーザーを誘い込んでドライブバイダウンロードを行わせたり、ウェブブラウザの脆弱性を悪用したり、電子メールの添付ファイルから来る可能性のあるトロイの木馬プログラムをユーザーを騙して実行させることで達成される。このマルウェアは通常、コンピュータがボットネットのオペレーターによってコマンドおよび制御されることを可能にするモジュールをインストールする。ソフトウェアがダウンロードされた後、ホストコンピュータにコールホーム（再接続パケットを送信）する。再接続が行われると、どのように記述されているかに応じて、トロイの木馬は自身を削除するか、モジュールを更新および維持するために存在し続ける場合がある。
その他 場合によっては、2010年のプロジェクト・チャノロジー中に4chanのメンバーによって使用されたLow Orbit Ion Cannonの実装のように、ボランティアのハクティビストによってボットネットが一時的に作成されることがある。
中国のGreat Cannon（Great Cannon of China）は、中国へ向かうインターネットバックボーンにおける正当なウェブブラウジングトラフィックの変更を可能にし、2015年にGitHubなどの大きな標的を攻撃するための大規模で一時的なボットネットを作成する。
対策 ボットネットの地理的な分散は、各リクルート（感染したデバイス）を個別に特定、隔離、修復しなければならないことを意味し、ファイアウォールによるフィルタリングの効果を制限する。
コンピュータセキュリティの専門家は、サーバーを押収するかインターネットから切断すること、マルウェアがC&Cインフラストラクチャとの通信に使用する予定だったドメインへのアクセスを拒否すること、場合によってはC&Cネットワーク自体に侵入することなどにより、マルウェアのコマンド＆コントロールネットワークを破壊または無力化することに成功している。これへの対抗として、C&Cオペレーターは、IRCやTorなどの既存の無害なインフラストラクチャの上にC&Cネットワークをオーバーレイしたり、固定サーバーに依存しないP2Pネットワーキングシステムを使用したり、ネットワークへの侵入やなりすましの試みを打ち負かすために公開鍵暗号を使用したりするなどの手法に頼るようになっている。
Norton AntiBotは消費者向けであったが、ほとんどの対策は企業やISPを対象としている。ホストベースの手法では、ヒューリスティクスを使用して、従来のアンチウイルスソフトウェアをすり抜けたボットの挙動を特定する。ネットワークベースのアプローチでは、上で説明した手法（C&Cサーバーのシャットダウン、DNSエントリのヌルルーティング、またはIRCサーバーの完全なシャットダウン）を使用する傾向がある。BotHunterは、アメリカ陸軍研究局の支援を受けて開発されたソフトウェアであり、ネットワークトラフィックを分析し、それを悪意のあるプロセスの特徴的なパターンと比較することで、ネットワーク内のボットネット活動を検知する。
サンディア国立研究所の研究者たちは、ボットネットがどのように機能するかを観察し、それを阻止する方法を実験するために、非常に大規模なネットワークをエミュレートする目的で、4,480ノードの高性能コンピュータ・クラスター上の仮想機械として、ボットネットと同様の規模である100万個のLinuxカーネルを同時に実行し、ボットネットの挙動を分析している。
攻撃者によってより新しく洗練された世代のボットが立ち上げられるにつれて、自動化されたボットの検知はより困難になる。例えば、自動化された攻撃では、大規模なボット軍団を展開し、非常に正確なユーザー名とパスワードのリストを用いたブルートフォース手法を適用してアカウントをハッキングすることができる。この考え方は、世界中の異なるIPから何万ものリクエストでサイトを圧倒することだが、各ボットは10分程度に1回しかリクエストを送信しないため、結果として1日に500万回以上の試行が行われる可能性がある。このような場合、多くのツールがボリューム型検知を活用しようとするが、自動化されたボット攻撃は現在、ボリューム型検知のトリガーを回避する方法を持っている。
これらのボット攻撃を検知するための技術の1つに、「シグネチャベース・システム」として知られるものがあり、ソフトウェアはリクエストパケット内のパターンを検知しようと試みる。しかし、攻撃は絶えず進化しているため、数千のリクエストからパターンを見分けられない場合、これは実行可能な選択肢ではない可能性がある。また、ボットを阻止するための振る舞いベースのアプローチもあり、これは最終的にボットと人間を区別しようとするものである。人間以外の挙動を特定し、既知のボットの挙動を認識することで、このプロセスはユーザー、ブラウザ、およびネットワークレベルで適用できる。
ウイルスに対抗するためにソフトウェアを使用する最も有能な方法は、システムが脆弱であるとマルウェアに信じ込ませるために、ハニーポットソフトウェアを利用することである。悪意のあるファイルはその後、フォレンジックソフトウェアを使用して分析される。
2014年7月15日、アメリカ合衆国上院司法委員会の犯罪およびテロリズム小委員会は、ボットネットがもたらす脅威と、ボットネットを解体・無力化するための官民の取り組みに関する公聴会を開催した。
脆弱なIoTデバイスの増加により、IoTベースのボットネット攻撃が増加している。これに対処するため、N-BaIoTと呼ばれるIoT向けの新しいネットワークベースの異常検知手法が導入された。これは、ネットワークの挙動の全体像をキャプチャし、ディープオートエンコーダを採用して侵害されたIoTデバイスからの異常なトラフィックを特定する。この手法は、9つのIoTデバイスをMiraiおよびBASHLITEボットネットに感染させることでテストされ、ボットネット内の侵害されたIoTデバイスから発生する攻撃を正確かつ迅速に検知する能力が示された。
さらに、ボットネットを検知するさまざまな方法を比較することは、研究者にとって非常に有用である。これは、各手法が他の手法と比較してどの程度機能するかを確認するのに役立つ。この種の比較は、研究者が手法を公平に評価し、それらをより良くする方法を見つけることを可能にするため有益である。
応用 ボットネットは多様な攻撃や不正行為に利用される。欧州連合サイバーセキュリティ機関（ENISA）の2025年脅威報告書によれば、ボットネットを利用したDDoS攻撃がインシデント全体の77%を占め、最も頻度の高い攻撃手法となっている。
DDoS攻撃 分散型サービス妨害（DDoS）攻撃は、ボットネットの最も代表的な用途である。ボットマスターは配下の多数のゾンビコンピュータに対し、標的のサーバやネットワークへ、一斉に可能な限り多くのリクエストを送信するよう指令を出し、サービスの提供を妨害する。Googleの不正対策担当であるShuman Ghosemajumderは、ボットネットがサービスとして使用されているため、主要なウェブサイトに停止をもたらすこれらの種類の攻撃は定期的に発生し続けるだろうと述べている。2007年にはエストニアの政府機関や民間ウェブサイトに対するDDoS攻撃にボットネットが使用され、国際的な注目を集めた。
フィッシング ボットネットはフィッシングのためのスパムメールの送信基盤として広く利用されている。電子メールやテキストで送信されたリンクを「被害者」がクリックすることで、「被害者」のアカウントのログイン情報を取得し、情報を違法に詐取する。ベライゾンによる調査では、電子的な「スパイ活動」の約3分の2がフィッシングによるものであることが判明した。
世界各地に分散した感染端末から送信されるため、特定の地域に偏らず、ブラックリストによるフィルタリングを回避しやすい。送信元ホストのDNS逆引きが未設定であるか、DSLやCATV回線と思われる機械的な命名規則のFQDNである場合が多い。2000年に発覚したEarthlink Spammerボットネットは、1年間で125万通以上の不正メールを送信した最初の著名な事例とされている。
クレデンシャル・スタッフィング（認証情報の詐取） ENISAの2020年ボットネット脅威報告書は、ボットネットの活動の多くが利用者の認証情報（IDやパスワード）の窃取（クレデンシャル・スタッフィング）に関連していると報告している。ボットネットに組み込まれたキーロガーや情報窃取型マルウェア（インフォスティーラー）が感染端末上で動作し、オンラインバンキングや電子メールなどの認証情報を収集して指令者に送信する。Emotetは当初バンキングトロイの木馬として2014年に確認されたが、後にボットネット基盤へと進化し、窃取した認証情報や感染端末へのアクセスを他の犯罪者に販売するMaaSモデルを運用した。また、別のサイトから流出した認証情報を使い大量のログインを自動試行する「クレデンシャル・スタッフィング攻撃」にもボットネットが利用されている。
ランサムウェアの配布 ボットネットはランサムウェアの配布手段としても機能する。EmotetボットネットはTrickBot経由でRyukランサムウェアを配布していたことが確認されている。ENISA 2025年報告書ではランサムウェアを「EU域内で最も破壊的かつ経済的被害の大きい脅威」と位置づけており、その拡散にボットネットが利用されている。
暗号資産の不正マイニング 感染端末の計算資源を利用して暗号通貨をマイニングする手法は「クリプトジャッキング」と呼ばれ、ボットネットの収益化手段として増加している。2023年に発見されたNoaBotは、Miraiの亜種をベースにSSH経由で拡散し、感染端末にMoneroマイニング用のXMRigを設置するボットネットであり、849以上の攻撃元IPが世界各地で確認された。
クリック詐欺 ボットネットを利用し、成功報酬型広告に対して偽のクリックを自動生成することで、広告主から不正に収益を得る手口がある。分散した多数の一意なIPアドレスからアクセスが行われるため、不正検知が困難になる。
違法サイトの構築 ボットネットの感染端末をリバースプロキシとして利用し、フィッシングサイトや違法な商品販売サイトを構築する手口もある。複数の感染ノードをDNSラウンドロビンで切り替えることで、特定のサーバが停止されても即座に別のノードに切り替わる。この手法はファスト・フラックスと呼ばれる。
スパイウェアの配布