Botnet là gì?

Mục lục

1. Botnet là gì và các thành phần của nó?
2. Botnet hoạt động qua những giai đoạn nào?
3. Botnet dùng cấu trúc điều khiển nào?
4. Botnet được dùng để làm gì?
5. Vì sao camera, router và thiết bị IoT hay bị biến thành bot?
6. Các vụ triệt phá botnet cho thấy điều gì?
7. Làm sao biết thiết bị hoặc mạng của bạn có bot?
8. Khi nghi có bot, xử lý theo thứ tự nào?
9. Doanh nghiệp phòng tránh botnet thế nào?
10. Botnet khác gì với malware, DDoS và zombie?
11. Khía cạnh pháp lý ở Việt Nam
12. Ưu điểm, nhược điểm và khi nào cần quan tâm
13. Câu hỏi thường gặp

Botnet là gì và các thành phần của nó?

Botnet là ghép của “robot” và “network”. Đó là tập hợp các thiết bị kết nối Internet đã bị cài phần mềm độc hại, và chịu sự điều khiển của một bên tấn công duy nhất, thường gọi là botmaster hoặc bot-herder. Mỗi thiết bị bị điều khiển được gọi là một bot. Một số tài liệu gọi chúng là “zombie” hay “máy tính ma”.

Một botnet có bốn thành phần chính:

• Bot: thiết bị nạn nhân chạy mã độc. Đó có thể là laptop nhân viên, máy chủ web bị lộ mật khẩu quản trị, camera IP hay router văn phòng.
• Botmaster: người hoặc nhóm vận hành. Nhiều nhóm không tự tấn công mà cho thuê năng lực botnet cho người khác.
• Máy chủ chỉ huy và điều khiển (command and control, C2): nơi bot “hỏi lệnh” và nhận chỉ thị.
• Kênh liên lạc: giao thức mà bot dùng để nói chuyện với C2, thường là HTTP/HTTPS, IRC hoặc kết nối ngang hàng.

Điểm làm botnet khác một con virus đơn lẻ là mã độc có thể nhận lệnh mới theo thời gian. Hôm nay bot gửi thư rác, tuần sau nó có thể được lệnh tải thêm mã độc tống tiền hoặc tham gia một đợt DDoS. Phần mềm độc hại nói chung được tổng hợp trong bài phân loại malware. Botnet là cách tổ chức nhiều máy nhiễm thành một “lực lượng” dùng chung.

Botnet hoạt động qua những giai đoạn nào?

Vòng đời của một bot thường đi qua bốn bước. Hình dưới mô tả ở mức khái niệm, không đi vào kỹ thuật khai thác.

Giai đoạn 1: lây nhiễm

Có ba con đường phổ biến. Một là lừa người dùng: tệp đính kèm hoặc đường dẫn trong email giả mạo, thường thuộc nhóm tấn công phishing. Hai là dò mật khẩu mặc định hoặc mật khẩu yếu của thiết bị lộ ra Internet, kiểu lây nhiễm đặc trưng của Mirai. Ba là khai thác lỗ hổng chưa vá. Báo cáo của Akamai cho thấy một botnet dạng Mirai khai thác lỗ hổng CVE-2024-6047 và CVE-2024-11120 trên các thiết bị GeoVision đã ngừng hỗ trợ. Hoạt động này được ghi nhận từ tháng 4/2025.

Giai đoạn 2 và 3: báo danh, nằm chờ

Sau khi chạy được, mã độc liên hệ máy chủ C2 để báo rằng thiết bị đã sẵn sàng. Rồi nó nằm im, và đây là lý do bot khó bị phát hiện. Camera vẫn quay, router vẫn chạy, laptop vẫn dùng được. Chỉ khi có lệnh, thiết bị mới tiêu tốn băng thông hoặc CPU rõ rệt.

Giai đoạn 4: thực thi

Lệnh có thể là đồng loạt gửi truy cập tới một địa chỉ mục tiêu, gửi email hàng loạt, quét thêm thiết bị khác để lây tiếp, hoặc tải thêm mã độc. Với lệnh quét và lây tiếp, botnet tự phình to mà kẻ tấn công không cần làm thêm gì.

Botnet dùng cấu trúc điều khiển nào?

Cách tổ chức kênh điều khiển quyết định botnet bị phá dễ hay khó.

• Tập trung: mọi bot nối về một hoặc vài máy chủ C2. Dễ quản lý với kẻ tấn công, nhưng cơ quan chức năng chỉ cần thu giữ máy chủ hoặc tên miền là botnet mất đầu não.
• Ngang hàng (peer-to-peer): mỗi bot vừa là máy khách vừa là máy chủ, truyền lệnh cho nhau. Không có một điểm duy nhất để cắt, nên khó dập hơn.

Nhiều botnet còn đổi tên miền C2 liên tục hoặc dựa vào hệ thống phân giải tên miền để né chặn. Vì vậy việc giám sát truy vấn DNS bất thường là một nguồn phát hiện hữu ích ở phía doanh nghiệp.

Botnet được dùng để làm gì?

Mục đích	Bot làm gì	Hậu quả với doanh nghiệp
Tấn công DDoS	Đồng loạt gửi lưu lượng vào một dịch vụ	Website, API hoặc cổng thanh toán ngừng phản hồi; nhiều vụ kèm đe doạ tống tiền
Thư rác, lừa đảo	Dùng máy nạn nhân gửi email hàng loạt	Địa chỉ IP của doanh nghiệp bị đưa vào danh sách đen, email thật không tới được khách
Đánh cắp thông tin	Ghi lại mật khẩu, cookie phiên, dữ liệu trình duyệt	Tài khoản email, VPN, quản trị bị chiếm
Phát tán mã độc (loader)	Tải thêm mã độc khác về máy	Mở đường cho mã độc tống tiền
Proxy dân cư	Biến thiết bị thành điểm trung chuyển lưu lượng	Lưu lượng phạm pháp đi ra từ địa chỉ IP của bạn

Về DDoS, đây là ứng dụng nổi bật nhất. Cơ chế, các kiểu tấn công và biện pháp giảm thiểu được trình bày riêng trong bài DDoS và cách phòng chống. Điều cần nhớ ở đây là botnet là phương tiện, DDoS là một trong những việc nó làm.

Nhóm “loader” cũng đáng chú ý. Theo CSO Online, dropper là chương trình độc hại nằm trong botnet và chủ yếu dùng để cài thêm mã độc, thường như một dịch vụ cho nhóm tội phạm khác. Với doanh nghiệp, một máy nhiễm loader hôm nay có thể là điểm vào cho một vụ mã hoá dữ liệu vài tuần sau. Đó là lý do mã độc tống tiền thường được điều tra ngược về một bot ban đầu.

Vì sao camera, router và thiết bị IoT hay bị biến thành bot?

Thiết bị IoT hội đủ ba điều kiện thuận lợi cho kẻ tấn công: bật 24/7, kết nối Internet liên tục và hiếm khi có ai theo dõi. Thêm vào đó là mật khẩu mặc định chưa đổi, firmware lâu không cập nhật, và nhiều model đã hết thời hạn hỗ trợ nên không có bản vá. Cũng không thể cài phần mềm diệt mã độc lên một chiếc camera hay đầu ghi hình.

Ví dụ minh hoạ: một cửa hàng lắp đầu ghi hình và bốn camera, nhờ thợ cấu hình cổng truy cập từ xa để chủ xem trên điện thoại. Thợ giữ nguyên tài khoản mặc định và mở cổng ra Internet. Thiết bị này sẽ nhanh chóng bị các công cụ quét tự động tìm ra. Chủ cửa hàng không thấy gì bất thường, nhưng đầu ghi hình có thể đang là một bot trong cuộc tấn công vào một website ở nước khác.

Các số liệu gần đây cho thấy quy mô vấn đề:

• Theo báo cáo mà Security Boulevard dẫn lại, tháng 3/2026, Bộ Tư pháp Mỹ thông báo đã làm gián đoạn hạ tầng C2 của các botnet Kimwolf, Aisuru, JackSkid và Mossad, nơi tổng cộng đã chiếm quyền hơn 3 triệu thiết bị.
• Theo tổng hợp trên Cyberpress, Aisuru-KimWolf, họ botnet dựa trên Mirai, gây ra những vụ DDoS lớn nhất từng ghi nhận, trong đó có đợt 31,4 Tbps cuối năm 2025.
• Cũng theo nguồn đó, Spamhaus ghi nhận 21.425 máy chủ C2 botnet trong giai đoạn tháng 7 đến tháng 12/2025, sau khi tăng 26% ở nửa đầu năm và 24% ở nửa cuối năm.
• Một phân tích của Unit 42 cho biết Kimwolf biến các thiết bị như Android TV box và set-top box thành công cụ DDoS ngầm. Đây là nhóm thiết bị gia đình có thể xuất hiện trong khách sạn, quán cà phê và văn phòng.

Các vụ triệt phá botnet cho thấy điều gì?

Cơ quan thực thi pháp luật quốc tế đã nhiều lần triệt phá botnet. Mỗi vụ cho thấy một khía cạnh khác nhau.

• Operation Endgame (5/2024): Europol gọi đây là đợt triệt phá botnet lớn nhất từng có. Chiến dịch thu giữ hơn 2.000 tên miền và hơn 100 máy chủ. Mục tiêu là các họ dropper như IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee và Trickbot. Bài học: hạ tầng phát tán mã độc là mắt xích đáng đánh, vì nhiều nhóm tống tiền thuê chúng để vào mạng.
• Operation Endgame giai đoạn 2 (5/2025): Cơ quan chức năng đã gỡ hơn 300 máy chủ trên toàn cầu và thu giữ 650 tên miền. Nhóm bị nhắm gồm Bumblebee, Latrodectus, DanaBot và WarmCookie. Một mục tiêu phụ là tài khoản bị đánh cắp: Spamhaus thông báo cho các nhà cung cấp để buộc đặt lại mật khẩu những tài khoản này.
• Botnet dùng router và camera của Flax Typhoon: FBI báo cáo botnet này đã chiếm hơn 260.000 thiết bị trên toàn cầu, gồm router văn phòng nhỏ, camera IP và thiết bị lưu trữ NAS. Cơ quan này khuyến nghị tắt cổng và dịch vụ không dùng, dùng mật khẩu phức tạp hơn và cập nhật bản vá.

Điểm chung: các vụ này đánh vào hạ tầng, chứ không vào hàng triệu máy nạn nhân. Phần dọn dẹp từng thiết bị vẫn thuộc về chủ sở hữu.

Làm sao biết thiết bị hoặc mạng của bạn có bot?

Bot được thiết kế để ít lộ dấu hiệu, nhưng vẫn để lại vết ở phía mạng. Những tín hiệu sau cần kiểm tra:

• Thiết bị không dùng nhiều nhưng lưu lượng ra ngoài tăng đều hoặc tăng vọt vào giờ lạ (ban đêm, cuối tuần).
• Một máy, camera hoặc TV box liên tục kết nối tới nhiều địa chỉ IP nước ngoài trên các cổng không quen thuộc.
• Truy vấn DNS tới tên miền mới đăng ký, tên ngẫu nhiên khó đọc, hoặc lặp lại theo chu kỳ đều đặn (kiểu “báo danh” định kỳ).
• Email gửi đi bị trả về hàng loạt, hoặc địa chỉ IP công cộng của công ty xuất hiện trên danh sách chặn thư rác.
• Router hoặc camera tự khởi động lại, chậm bất thường, hoặc cài đặt (DNS, tài khoản) bị đổi mà không ai thao tác.
• Nhà cung cấp Internet gửi thông báo về hoạt động độc hại từ đường truyền của bạn.

Với doanh nghiệp có đội vận hành, nguồn dữ liệu hữu ích nhất là nhật ký tường lửa, nhật ký DNS và cảnh báo từ phần mềm bảo vệ máy trạm. Việc tổng hợp, đối chiếu các nhật ký này thường do giải pháp bảo mật điểm cuối và trung tâm giám sát đảm nhận. Doanh nghiệp nhỏ chưa có đội riêng vẫn kiểm tra được lưu lượng ra ngoài trên trang quản trị router.

Khi nghi có bot, xử lý theo thứ tự nào?

Đây là quy trình xử lý ở mức phòng thủ cho một thiết bị hoặc máy trạm bị nghi nhiễm.

1. Cách ly: rút dây mạng hoặc ngắt Wi-Fi của thiết bị nghi nhiễm. Chưa tắt nguồn ngay với máy tính nếu cần giữ bằng chứng điều tra.
2. Ghi lại hiện trạng: giờ phát hiện, địa chỉ IP đích đáng ngờ, tên tiến trình lạ, cảnh báo của phần mềm bảo mật.
3. Đổi thông tin đăng nhập từ một thiết bị sạch: mật khẩu email, VPN, quản trị, và các tài khoản từng đăng nhập trên máy nghi nhiễm. Bật xác thực nhiều yếu tố nếu chưa có.
4. Làm sạch hoặc cài lại: với máy tính, quét bằng công cụ bảo mật; nếu có dấu hiệu loader hoặc không chắc đã sạch, cài lại hệ điều hành từ bản gốc. Với camera, đầu ghi hình, router: đặt lại về mặc định, cập nhật firmware mới nhất, đặt mật khẩu mới trước khi nối lại mạng.
5. Đóng đường vào: tắt truy cập quản trị từ Internet, tắt UPnP và các cổng không dùng, đổi mật khẩu Wi-Fi.
6. Rà soát phạm vi: kiểm tra các thiết bị khác cùng mạng, vì bot thường quét lan sang thiết bị lân cận.
7. Báo cáo: thông báo cho nhà cung cấp dịch vụ, và nếu có dữ liệu cá nhân bị ảnh hưởng thì cho bộ phận phụ trách an toàn thông tin theo quy trình nội bộ.

Doanh nghiệp phòng tránh botnet thế nào?

Có hai bài toán khác nhau: không để thiết bị của mình thành bot, và không để botnet của người khác làm sập dịch vụ.

Không để thiết bị của mình thành bot

• Kiểm kê thiết bị nối mạng: lập danh sách camera, đầu ghi hình, router, máy in, TV box, thiết bị chấm công. Phần lớn bot IoT nằm ở những thiết bị không ai nhớ đã lắp.
• Đổi mật khẩu mặc định ngay khi lắp đặt và yêu cầu nhà thầu bàn giao bằng văn bản các tài khoản đã đặt.
• Tách mạng: đặt thiết bị IoT vào VLAN riêng, không cho truy cập máy chủ nội bộ. Tường lửa chỉ cho phép chiều ra tới các địa chỉ cần thiết. Cấu hình xem trong bài firewall và các loại tường lửa.
• Không mở quản trị ra Internet. Muốn xem camera từ xa thì đi qua VPN hoặc dịch vụ đám mây của hãng đã bật xác thực hai lớp.
• Cập nhật firmware theo lịch và chọn thiết bị còn được nhà sản xuất hỗ trợ khi mua mới.
• Chặn đường lây nhiễm qua người dùng: huấn luyện nhận diện email giả mạo và dùng bộ lọc tệp đính kèm.
• Bật giám sát lưu lượng ra ngoài: cảnh báo khi một thiết bị kết nối tới số lượng đích bất thường hoặc tên miền thuộc danh sách C2 đã biết.

Giảm tác động khi bị botnet tấn công

Khi bị DDoS từ botnet, chặn từng địa chỉ IP gần như vô ích vì có thể có hàng chục nghìn nguồn. Doanh nghiệp thường dùng dịch vụ lọc lưu lượng của nhà cung cấp Internet hoặc nhà cung cấp chống DDoS, kết hợp giới hạn tốc độ và CDN. Phần này được nói kỹ hơn trong bài về DDoS đã nêu ở trên. Về tổng thể, các biện pháp trên nằm trong nền tảng chung của an toàn thông tin doanh nghiệp.

Botnet khác gì với malware, DDoS và zombie?

Khái niệm	Là gì	Quan hệ với botnet
Malware	Nhóm phần mềm độc hại nói chung	Mã độc bot là một loại malware; botnet là mạng gồm nhiều máy chạy loại mã này
DDoS	Kiểu tấn công làm quá tải dịch vụ	Botnet là nguồn lưu lượng phổ biến nhất cho DDoS, nhưng không phải cách duy nhất
Bot hợp pháp (chatbot, trình thu thập của công cụ tìm kiếm)	Chương trình tự động có chủ và có mục đích rõ ràng	Không phải botnet vì không chiếm quyền thiết bị của người khác
Zombie	Cách gọi một thiết bị bị chiếm quyền	Đồng nghĩa với “bot”
Tấn công nhồi thông tin đăng nhập (credential stuffing)	Thử hàng loạt cặp tài khoản, mật khẩu bị lộ	Thường chạy trên botnet để phân tán nguồn IP, nhờ đó khó chặn

Lưu ý: không phải mọi lưu lượng “bot” đều xấu. Chống bot ở tầng ứng dụng (phân biệt người thật với công cụ tự động) là bài toán của tường lửa ứng dụng web và các dịch vụ quản lý bot, không phải của việc “diệt botnet”.

Khía cạnh pháp lý ở Việt Nam

Việc xây dựng, vận hành hoặc cho thuê botnet là hành vi phạm pháp. Bộ luật Hình sự có các điều khoản về phát tán chương trình tin học gây hại và cản trở hoạt động của mạng máy tính. Doanh nghiệp bị lợi dụng thiết bị làm bot thường là nạn nhân, nhưng nếu thiết bị chứa dữ liệu cá nhân bị đánh cắp qua bot thì phải xử lý như một sự cố rò rỉ dữ liệu, theo quy trình của bảo vệ dữ liệu cá nhân. Bạn nên tham vấn bộ phận pháp chế hoặc luật sư về nghĩa vụ báo cáo cụ thể của tổ chức mình.

Ưu điểm, nhược điểm và khi nào cần quan tâm

Botnet không có “ưu điểm” cho người dùng hợp pháp. Với kẻ tấn công, ưu thế là chi phí thấp, quy mô lớn, khó truy ngược chủ nhân thật. Hạn chế của chúng là phụ thuộc vào thiết bị dễ bị chiếm: khi nhà sản xuất vá lỗi, người dùng đổi mật khẩu hoặc nhà mạng chặn kết nối C2 thì bot bị mất hoặc bị chia nhỏ.

Doanh nghiệp nên đặc biệt quan tâm botnet nếu: có website thương mại điện tử hoặc cổng thanh toán, vận hành nhiều camera hay thiết bị IoT tại nhiều điểm bán, để lộ dịch vụ quản trị từ xa ra Internet, hoặc đã từng bị liệt vào danh sách đen email. Ngược lại, một văn phòng nhỏ chỉ dùng laptop và router vẫn nên kiểm tra mật khẩu và firmware router, vì đây là thiết bị dễ bị lợi dụng nhất.

Câu hỏi thường gặp

Botnet có phải là virus không?

Không hẳn. Virus là một loại mã độc, còn botnet là cả mạng gồm nhiều thiết bị nhiễm mã độc được điều khiển tập trung. Mã độc trên từng thiết bị có thể thuộc nhiều loại, như trojan, worm hoặc backdoor.

Điện thoại có thể là một phần của botnet không?

Có. Các báo cáo về Kimwolf cho thấy thiết bị Android, nhất là TV box và set-top box, đã bị biến thành bot. Điện thoại cũng có thể nhiễm qua ứng dụng độc hại cài ngoài kho chính thức, nên hạn chế cài ứng dụng từ nguồn không rõ.

Cài phần mềm diệt virus có đủ để không bị lây bot không?

Không đủ. Phần mềm bảo mật giúp với máy tính và điện thoại, nhưng camera, router và đầu ghi hình thường không cài được. Với các thiết bị này, biện pháp hiệu quả là đổi mật khẩu mặc định, cập nhật firmware, tắt truy cập từ Internet và tách mạng.

Làm sao biết router nhà hoặc văn phòng có bị nhiễm không?

Kiểm tra các dấu hiệu như cài đặt DNS bị đổi, tài khoản quản trị lạ, lưu lượng ra ngoài cao khi không ai dùng, hoặc thông báo từ nhà mạng. Cách xử lý an toàn nhất là đặt lại về mặc định, cập nhật firmware và đặt mật khẩu mới, rồi tắt quản trị từ xa.

Khi cơ quan chức năng triệt phá một botnet, thiết bị bị nhiễm có tự sạch không?

Không. Việc thu giữ máy chủ C2 cắt quyền điều khiển của kẻ tấn công, nhưng mã độc có thể vẫn nằm trên thiết bị. Nếu thiết bị vẫn chưa được vá và dùng mật khẩu cũ, nó dễ bị nhóm khác chiếm lại.

Thuê hoặc mua botnet có hợp pháp không?

Không. Dùng botnet để tấn công, gửi thư rác hay đánh cắp dữ liệu là hành vi vi phạm pháp luật ở hầu hết các nước, trong đó có Việt Nam. Các dịch vụ “thuê DDoS” thuộc nhóm hoạt động mà cơ quan chức năng quốc tế đang nhắm tới.