I slutet av sommaren hade en svensk dagstidning på nätet en annons som lockade med löften om billigare mobiltelefoni. Annonsen hade köpts kontant av någon anonym person från ett icke-existerande bolag och innehållet skickats till tidningens annonsavdelning från en anonym adress.
Den som sedan klickade på annonsen snuvades på den billiga telefonin, men fick däremot skadlig kod installerad på sin dator. Datorn blev därmed en del i ett av många tusen stora nätverk av datorer – ett botnet.
– Det allra vanligaste sättet att hamna i ett botnet är att man har klickat på en länk för att titta på någon rolig film eller så. Det kan vara i din browser, din mejl eller exempelvis en länkad annons, säger Säpos förre it-brottsutredare André Rickardsson som numera arbetar på it-säkerhetsföretaget Bitsec, till DN.se.
Ett botnet består av ett ofta stort antal datorer, zombies, som någon eller några har skaffat sig kontroll över. Med den kontrollen kan man fjärrstyra datorerna att utföra en rad saker.
– Även om man själv tycker att man inte har något att skydda och struntar i brandväggar, antivirusprogram och uppdateringar ska man vara medveten att man kan bli utnyttjad som andras språngbräda vid digitala attacker och annat för att man hamnat i ett botnet, säger Anne-Marie Eklund Löwinder säkerhetschef på .SE, Stiftelsen för internetinfrastruktur.
Den som kontrollerar ett botnet kallas bot herder, (ibland bot master eller bot admin) och sköter kontakten med sitt nätverk via en så kallad c & c-server (command och control). Kontakten med den sker i sin tur oftast via en annan server eller exempelvis Twitter. Gärningsmännen är alltså dolda bakom komplexa serverstrukturer varför det kan vara svårt att spåra dem och säkra bevis. Brottsbekämpningen kan till och med i sig innebära brott.
Bland annat kan man ge datorerna som ingår i ett botnet kommando att simultant skicka anrop till en specifik sajts server. Så snart anropens datamängd överskrider serverns maxkapacitet överbelastas den och sajten går inte längre att nå.
Detta kallas för en överbelastningsattack eller ddos, distributed denial of service, och den pågår så länge de fjärrstyrda datorerna beordras att skicka datapaket till servern. Det sker mängder av sådana dagligen, både i Sverige och utomlands. En del kan vara köpta som ett slags sabotage, andra görs till synes för nöjes skull och ytterligare andra har ideologiska avsikter.
Det gäller särskilt när myndigheter och andra samhällsnyttiga institutioner drabbas som när polisen attackerades efter The Pirate Bay-razzian 2006, Tony Blairs sajt under Irakkrigets första dagar 2003 och historiens mest lamslående ddos mot i princip hela offentliga Estland 2007.
Att utföra en ddos-attack är sedan ett par år kriminellt och går liksom hacking och spridning av skadlig kod under brottsrubriceringen dataintrång som kan leda till två års fängelse. En ddos-attack förutsätter som regel ett botnet, det vill säga i princip samtliga ddos-attacker använder botnets som redskap. Att hamna i ett sådant är lätt, nyligen upptäcktes exempelvis att hemsidan för Nobels fredspris innehöll sådan skadlig kod.
– Det är också känt att folk har hamnat i botnet när man har stoppat in digitala fotoramar, minnesstickor, batteriladdare eller andra portabla enheter i sin dators usb-port. Då är det någon som mot en ersättning stoppat in den skadliga koden i apparaterna där de tillverkas. Ett annat sätt är förstås när man installerar någon form av infekterad mjukvara, säger André Rickardsson.
Botnets kan teoretiskt ha nyttiga tillämpningar som för exempelvis sökmotorers indexering av sajter eller rankning av datorspelare online. Men de illasinnade möjligheterna och bruken är långt mycket större. Uppgifter om antalet botnets skiftar och förändras ständigt, men det rör sig uppskattningsvis i dag om tio tusentals.
Medelstora botnet uppskattas ha några hundra datorer i sin makt, men de flesta har färre än hundra. Samtidigt äger de allra största kontroll över tiotusentals datorer och upp till fler än tio miljoner. Svårigheten att kvantifiera beror bland många saker på att bakom en ip-adress kan flera datorer dölja sig och en dator har inte alltid en fast ip-adress. Det beror också på över hur lång tid man mäter.
Amerikanska stiftelsen Shadowserver granskar ”internets mörkare sidor” och konstaterar måttfullt att alla inblandade vill se höga siffror och att de som presenteras därför ofta är överdrivna. De påpekar att storleken inte är det viktiga utan vad ett botnet används för. Troligt är i alla fall att din dator är eller har varit med i ett botnet även om du inte vet om det.
– Sannolikheten för att man åker dit är ganska hög om man är en av de första att råka på en ny trojan, något nytt virus eller annan skadlig kod. Men säkerhetsföretagen upptäcker oftast detta rätt snabbt och då uppdaterar de sina skydd. Jag har säkert själv ingått i flera botnet. Om man inte vill ha skadlig kod är det viktigt att dels ha bra programvara i datorn och dels se till att uppdatera den ofta, säger André Rickardsson och tillägger att ”absolut säkerhet finns inte, säkerhet är en hantering av risker”.
Koden i sig är dock sällan skadlig i den bemärkelsen att det händer något för den enskilde personen som hamnar i ett botnet. Syftet med just sådan kod är att använda din dator som en resurs, men bara med en försvinnande liten del av din bandbredd. Man kan vara med i hur många som helst utan att någonsin märka det.
– Sedan finns det ju sådan kod som syftar till att hämta information och material från din hårddisk. Pengar är inte lika vanligt att bli av med i Sverige eftersom vi sedan länge lämnat de enklare banklösningarna, säger André Rickardsson
Inte heller Anne-Marie Eklund Löwinder på .SE säger att man själv löper särskilt stor risk att råka ut för något hemskt genom att ens dator hamnar i ett botnet.
– Är du en väldigt aktiv bloggare eller twittrare och upprör någon kan du kanske råka illa ut, men intresset för det är nog inte så stort. Vad som är viktigt och det som är att ta ansvar som en god nätmedborgare är att hindra sin dator från att angripa en tredje part, säger Anne-Marie Eklund Löwinder.
Som privatperson är alltså uppdaterade säkerhetsprogram och allmän vaksamhet vid länkar och annat att rekommendera. För sajtadminstratörer och bredbandsleverantörer finns andra sätt att minimera riskerna för ett botnets aktiviteter. Bland annat kan man styra sin trafik på ett mer medvetet sätt, så kallad traffic shaping, eller rentav stänga av kommunikationen från utvalda länder eller ip-nummerserie om trafikavvikelser plötsligt skulle upptäckas.
– Det kostar ju pengar alltihop. Man kanske inte tycker att det är värt eller man kanske har bedömt att man inte är ett tänkbart mål för sådana saker. Där finns sedan länge en illegal marknad där det klassiska upplägget är att låt oss säga ett spelbolag blir kontaktade av någon som erbjuder skydd från ddos-attacker. Bolaget nekar och så utsätts de för en attack och när de sedan kontaktas igen köper de ”skyddstjänsten”. Precis som gangsters alltid gjort, säger André Rickardsson.
Finns det inte skäl att misstänka att ni i säkerhetsbranschen förstorar problemet?
– Inte förstora problemet, kanske, men vi vill ju uppmärksamma omvärlden på det. Självklart vill vi sälja tjänster och produkter, det kan man inte sticka under stolen med. Men det finns reella risker och det vill vi att kunderna ska vara medvetna om, säger André Rickardsson.