Una botnet è un esercito di dispositivi compromessi – PC, server, ma sempre più spesso telecamere, router e IoT con credenziali di fabbrica – controllati da un'infrastruttura di command and control (C2). Il proprietario non si accorge di nulla; l'attaccante affitta la potenza aggregata per DDoS, spam, credential stuffing, mining e proxy per altri crimini. Mirai, costruita su IoT con password di default, resta il caso di scuola.
Due prospettive di difesa: non entrarci (aggiornamenti, credenziali cambiate, niente servizi esposti per pigrizia – il tuo NAS non vuole fare carriera nel crimine) e riconoscerne il traffico: i beacon verso i C2 si intercettano con blocklist DNS aggiornate (blacklists le aggrega ogni giorno) e con un occhio sull'egress della rete.