Botnet: cómo funciona y qué hacer si un equipo forma parte de una

Una botnet es un conjunto de dispositivos infectados que una persona o grupo controla a distancia sin autorización. Si un ordenador, servidor, router o cámara conectada forma parte de ella, puede ejecutar tareas ordenadas por el atacante mientras su propietario apenas nota cambios. La prioridad es identificar el equipo afectado, aislarlo de la red y recuperar el control sin borrar pruebas necesarias para investigar el incidente.

El riesgo no se limita a los ordenadores de sobremesa. Los dispositivos con contraseñas débiles, software sin actualizar o servicios expuestos a Internet también pueden incorporarse a una red de este tipo. En una empresa, un equipo comprometido puede servir para lanzar ataques contra terceros, enviar correo no deseado, robar información o buscar otros sistemas vulnerables dentro de la propia organización.

Qué ocurre dentro de una botnet

El dispositivo infectado ejecuta un programa malicioso que permite recibir instrucciones de un operador externo. A menudo se denomina bot o equipo zombi al dispositivo bajo ese control. El operador coordina muchos bots como una unidad, aunque estos no tengan por qué pertenecer a la misma empresa, país o tipo de dispositivo.

Para coordinar las acciones, el malware suele comunicarse con una infraestructura de mando y control, conocida como C2 por las siglas inglesas de command and control. Esa comunicación permite enviar órdenes o recibir información. La forma concreta cambia entre familias de malware: algunas usan servidores centralizados; otras recurren a mecanismos distribuidos o a servicios legítimos como parte de su comunicación. Por eso, bloquear una dirección aislada no siempre elimina la infección.

La entrada inicial también varía. Puede producirse al abrir un archivo malicioso, instalar software manipulado, reutilizar una contraseña filtrada o explotar un sistema sin corregir. En dispositivos de Internet de las cosas (IoT), como routers o cámaras, el acceso remoto habilitado y las credenciales predeterminadas o débiles pueden facilitar el compromiso. La botnet no es el método de entrada: es la estructura que permite coordinar dispositivos ya controlados.

Para qué se utilizan los equipos comprometidos

El uso depende de los objetivos del operador. Una botnet puede enviar grandes volúmenes de correo basura, distribuir malware, recopilar credenciales o participar en un ataque de denegación de servicio distribuido (DDoS). En un DDoS, numerosos dispositivos generan tráfico contra un servicio para dificultar que responda a sus usuarios legítimos.

También puede emplearse para realizar acciones menos visibles, como probar contraseñas contra otros sistemas, navegar por servicios web de forma automatizada o mantener acceso a una red. En un incidente empresarial, un equipo comprometido puede actuar como punto de apoyo para intentar alcanzar servidores, cuentas o datos internos. Eso no implica que toda infección termine en robo de información: el propósito y el alcance dependen del malware y de las instrucciones recibidas.

Que un dispositivo forme parte de una botnet no significa necesariamente que el atacante esté viendo su pantalla. Puede limitarse a utilizar su conexión y capacidad de cálculo para una tarea concreta. Aun así, la presencia de malware debe tratarse como un incidente de seguridad, porque no siempre se conoce de inmediato qué otras acciones ha realizado.

Señales que justifican una comprobación

Una botnet puede funcionar sin avisos visibles. Un equipo lento o un ventilador activo, por sí solos, no permiten confirmar una infección: también pueden deberse a actualizaciones, tareas legítimas o fallos de hardware. La decisión debe apoyarse en varias señales y en los registros disponibles.

• Tráfico de red inusual: conexiones frecuentes hacia destinos desconocidos, actividad fuera del horario habitual o un volumen de salida que no encaja con el uso del equipo.
• Consumo anómalo de recursos: procesador, memoria o ancho de banda elevados sin una aplicación de negocio que lo explique.
• Alertas de seguridad: detecciones del antivirus o del sistema de protección de endpoints, cambios en sus ajustes o herramientas de seguridad que dejan de funcionar.
• Quejas de terceros: avisos de proveedores, clientes o servicios de correo sobre mensajes no solicitados o actividad procedente de una dirección de la organización.
• Modificaciones no autorizadas: nuevas cuentas, programas, tareas programadas o reglas de acceso que nadie reconoce.

En una empresa, es útil comparar la alerta con los registros del cortafuegos, del sistema de protección de endpoints y del servidor de nombres de dominio (DNS), si están disponibles. Una conexión extraña no prueba por sí sola que exista una botnet; ayuda a establecer qué equipo se comunicó, cuándo y con qué frecuencia. Si los registros se conservan, evita borrarlos durante las primeras comprobaciones.

Cómo contener y recuperar un dispositivo afectado

1. Limita la comunicación sin perder el control

Si hay indicios sólidos de infección, desconecta el equipo de la red corporativa o aíslalo mediante las herramientas de gestión disponibles. En un dispositivo inalámbrico, desactivar la conexión puede ser suficiente para frenar comunicaciones; en otros casos, el equipo de IT puede aplicar aislamiento desde la consola de seguridad. No lo conectes a otra red para «probar» si sigue infectado.

En una organización, avisa al responsable de seguridad o al equipo de IT y anota la hora, el usuario, el nombre del dispositivo y las alertas observadas. Si el sistema puede estar implicado en un incidente más amplio, apagarlo o borrar archivos de inmediato puede eliminar información útil para entender el alcance. La preservación de registros y evidencias debe coordinarse con el procedimiento interno y con personal cualificado.

2. Comprueba el alcance y elimina la causa

Analiza el equipo con herramientas de seguridad actualizadas y revisa cómo pudo producirse la infección: una cuenta expuesta, una aplicación vulnerable, un archivo ejecutado o un servicio remoto innecesario, por ejemplo. Comprueba también si otros dispositivos se conectaron al mismo segmento de red o recibieron alertas similares. Limpiar un único equipo no resuelve el problema si la misma vía de entrada sigue abierta.

Cuando no se pueda confiar en la limpieza, una opción es reinstalar el sistema desde una imagen conocida y fiable, después de preservar los datos necesarios y confirmar que las copias de seguridad no contienen archivos afectados. Si se restaura una copia, comprueba que corresponde a un momento anterior a la infección y vuelve a aplicar las actualizaciones antes de permitir el acceso normal a la red.

3. Protege las cuentas relacionadas

Desde un dispositivo que se considere limpio, cambia las contraseñas de las cuentas potencialmente expuestas, empezando por las de administración, correo y acceso remoto. Revoca sesiones o credenciales que no deban seguir activas y habilita autenticación multifactor cuando esté disponible. Si una contraseña se reutilizaba en otros servicios, cámbiala también allí: eliminar el malware no invalida automáticamente las credenciales que haya podido obtener.

Medidas para reducir la probabilidad de otra infección

La defensa más eficaz combina controles técnicos y hábitos operativos. Mantén sistemas, aplicaciones y firmware de routers y dispositivos IoT actualizados; retira servicios que no se necesiten y cambia las credenciales predeterminadas. Si un dispositivo ya no recibe actualizaciones y no puede protegerse de otra forma, valora sustituirlo o limitarlo a una red separada.

En equipos de trabajo, utiliza protección de endpoints, restringe los privilegios de administración y limita el acceso remoto a los usuarios y servicios que lo necesiten. La segmentación de red reduce las posibilidades de que un dispositivo comprometido alcance otros sistemas. También ayuda disponer de copias de seguridad aisladas o protegidas frente a modificaciones, y comprobar periódicamente que se pueden restaurar.

Por último, establece un criterio de respuesta: quién recibe las alertas, quién puede aislar un equipo y dónde se guardan los registros. Si el incidente afecta a servicios críticos, a varios dispositivos o a cuentas con permisos elevados, no lo trates como una simple limpieza de un ordenador. La prioridad es contener la actividad, determinar qué sistemas y credenciales están en riesgo y cerrar la vía de entrada antes de devolver los equipos a producción.