Botnet أو شبكة الروبوتات هي مجموعة من أجهزة الكمبيوتر أو الخوادم أو الموجّهات أو أجهزة إنترنت الأشياء التي تم اختراقها وأصبحت قابلة للتحكم عن بُعد من جهة غير مصرح لها. الجهاز الواحد داخل الشبكة يسمى عادة Bot أو Zombie، بينما تصف كلمة Botnet البنية الكاملة التي تجمع عددًا من هذه الأجهزة وتسمح بتوجيهها بصورة منسقة.
يتوافق هذا المعنى مع تعريف NIST لشبكات Botnet بوصفها شبكات من الأجهزة المخترقة التي يستطيع المهاجم إدارتها عن بُعد. المهم هنا أن Botnet ليست اسمًا لفيروس محدد، وليست مرادفًا لهجوم DDoS؛ إنها بنية تحكم يمكن استخدامها لأغراض خبيثة مختلفة.
ما الفرق بين Bot وBotnet وMalware؟
هذه المصطلحات مرتبطة ببعضها لكنها لا تعني الشيء نفسه:
- Malware: برمجية أو كود خبيث يستخدم للإضرار بالنظام أو سرقة المعلومات أو منح وصول غير مصرح به.
- Bot: جهاز أصبح قابلًا لتلقي وتنفيذ أوامر المهاجم، عادة نتيجة إصابة أو اختراق.
- Botnet: مجموعة من هذه الأجهزة الخاضعة للتحكم والمستخدمة بصورة منسقة.
- Bot Herder أو Botmaster: المشغّل أو الجهة التي تدير شبكة الروبوتات.
لذلك قد تكون البرمجية الخبيثة هي الوسيلة التي تُحوّل الجهاز إلى Bot، لكنها ليست Botnet بحد ذاتها. ويمكن التعمق في هذه الفروق من خلال دليل أنواع البرمجيات الخبيثة Malware وطرق الكشف عنها.
كيف يتحول الجهاز إلى جزء من شبكة Botnet؟
لا توجد طريقة إصابة واحدة تستخدمها جميع شبكات الروبوتات. يبدأ السيناريو عادة بالحصول على وصول إلى الجهاز، ثم تثبيت مكوّن يسمح بالتحكم فيه أو استخدامه ضمن البنية الخبيثة.
1. الوصول الأولي
يمكن أن يحدث الاختراق عبر أكثر من مسار، مثل:
- ملف أو تطبيق خبيث تم تنزيله وتشغيله.
- رسالة تصيد تحتوي على مرفق أو رابط يؤدي إلى برمجية خبيثة.
- استغلال ثغرة أمنية في خدمة أو جهاز متصل بالإنترنت.
- كلمات مرور افتراضية أو ضعيفة في Router أو كاميرا أو جهاز IoT.
- برامج مقرصنة أو تطبيقات من مصادر غير موثوقة.
- جهاز يصل إلى نهاية دعمه ولا يتلقى تحديثات أمنية.
- في بعض الحملات، أجهزة أو تطبيقات تأتي وفيها مكوّن خبيث أو Backdoor منذ مرحلة سابقة في سلسلة التوريد.
ولفهم ما يحدث بعد ذلك على مستوى الاتصالات، من المفيد معرفة أساسيات IP وDNS وTCP/UDP وRouters، وهي مفاهيم يغطيها دليل تعلم الشبكات من الصفر.
2. تثبيت وسيلة للتحكم أو الاستمرارية
بعد الدخول، يحتاج المهاجم إلى جعل الجهاز قادرًا على العمل ضمن الشبكة. قد تحاول البرمجية الخبيثة التشغيل تلقائيًا بعد إعادة تشغيل النظام، أو الاحتفاظ بمكوّن يعمل في الخلفية، أو تعديل إعدادات الجهاز.
درجة الاستمرارية تختلف بشدة بين الحملات. بعض الإصابات تختفي بعد إزالة الملف أو إعادة تشغيل جهاز معين، بينما تتطلب إصابات أخرى تنظيفًا أعمق أو إعادة بناء النظام ومعالجة الثغرة التي سمحت بالدخول أصلًا.
3. الاتصال بقناة Command and Control
تُسمى البنية المستخدمة لإرسال التعليمات واستقبال النتائج عادة Command and Control أو C2. بعد الإصابة قد يحاول Bot الاتصال تلقائيًا ببنية يتحكم بها المشغّل، ثم ينتظر المهام.
يمكن استخدام قناة C2 في إرسال أوامر، وتحديث البرمجية، وتغيير خوادم الاتصال، وتنزيل مكونات إضافية، أو استقبال معلومات من الأجهزة المصابة.
4. تنفيذ المهام
بعد انضمام الجهاز إلى الشبكة، يمكن للمشغّل توجيه أعداد كبيرة من Bots إلى تنفيذ نشاط واحد أو توزيع مهام مختلفة عليها. ومن هنا تأتي القيمة الرئيسية لشبكات Botnet بالنسبة للمهاجم: تحويل آلاف الأجهزة المستقلة إلى بنية يمكن استخدامها جماعيًا.
كيف تعمل بنية Command and Control؟
لا تعتمد كل Botnet على التصميم نفسه. ومن أشهر النماذج:
| البنية | كيف تعمل؟ | النتيجة الدفاعية |
|---|---|---|
| Centralized | تتصل الأجهزة بخادم أو عدد محدود من خوادم C2. | اكتشاف أو تعطيل البنية المركزية قد يؤثر بشدة على الشبكة. |
| Peer-to-Peer | تتبادل الأجهزة معلومات التحكم فيما بينها بدل الاعتماد الكامل على خادم واحد. | أكثر تعقيدًا في التعطيل لأن الشبكة لا تعتمد على نقطة مركزية واحدة. |
| Hybrid | تجمع بين خوادم مركزية وآليات اتصال موزعة أو بديلة. | توفر مرونة أكبر إذا فقد المهاجم جزءًا من البنية التحتية. |
قد تستخدم الحملات أيضًا نطاقات متغيرة، أو بروتوكولات واتصالات مشفرة، أو طبقات Proxy لإخفاء البنية. لذلك لا يكفي الدفاع دائمًا بحظر عنوان IP واحد؛ فقد يتغير مسار الاتصال بينما تبقى الإصابة نفسها موجودة.
ما استخدامات شبكات Botnet؟
الاعتقاد الأكثر شيوعًا هو أن Botnet تعني تلقائيًا DDoS، لكن هذا ليس دقيقًا. البوت نت تصف مجموعة الأجهزة الخاضعة للتحكم، ويمكن توظيف هذه القدرة في مهام كثيرة.
هجمات DDoS
يمكن توجيه عدد كبير من الأجهزة لإرسال Traffic نحو خدمة أو بنية مستهدفة بغرض استهلاك مواردها أو سعة الاتصال المتاحة لها.
ولا يعني ذلك أن كل DDoS يعتمد على Botnet. فقد أوضح تقرير Cloudflare عن هجمات DDoS في النصف الأول من 2026 أن هجمات الانعكاس والتضخيم ظلت مكوّنًا مهمًا من مشهد هجمات طبقة الشبكة، إلى جانب الهجمات التي تعتمد على أجهزة Botnet. أي أن مصطلحي DDoS وBotnet متداخلان أحيانًا ولكنهما ليسا مترادفين.
شبكات Proxy سكنية خبيثة
يمكن استخدام الأجهزة المخترقة كوسيط تمر عبره حركة مرور أطراف أخرى. هذه الوظيفة تجعل النشاط يبدو صادرًا من اتصال منزلي أو جهاز عادي بدل خادم معروف تابع للمهاجم.
في مايو 2025 أعلنت وزارة العدل الأمريكية عن تعطيل خدمات Anyproxy و5socks، وقالت إن البنية اعتمدت على إصابة موجّهات لاسلكية قديمة ببرمجية سمحت بتحويلها إلى Proxy Servers دون علم مالكيها.
إرسال Spam والتصيد
تستطيع الشبكة توزيع عمليات إرسال البريد أو الطلبات على عدد كبير من الأجهزة وعناوين IP، بدل خروجها من خادم واحد يمكن حجبه بسهولة.
توزيع البرمجيات الخبيثة
قد يكون Bot الموجود على الجهاز مجرد المرحلة الأولى. بعد ذلك يستطيع المشغّل تنزيل Payload إضافي مثل Infostealer أو Remote Access Trojan أو مكوّن يستخدم في حملة Ransomware.
سرقة البيانات
إذا كانت البرمجية المزروعة تملك الوظائف اللازمة، فقد تجمع معلومات من النظام أو المتصفح أو التطبيقات وترسلها إلى المشغّل. لهذا السبب يجب ألا تقتصر الاستجابة على إزالة الملف؛ فمن الضروري أيضًا تقييم احتمال تسرب Credentials أو بيانات أخرى.
الاحتيال والإساءة الآلية
قد تستخدم الأجهزة في Click Fraud أو إنشاء حركة آلية أو تنفيذ محاولات تسجيل دخول موزعة أو إساءة استخدام خدمات الإنترنت على نطاق واسع.
لماذا أصبحت أجهزة Router وIoT أهدافًا مهمة؟
الكمبيوتر الشخصي ليس الجهاز الوحيد الذي يمكن تحويله إلى Bot. فقد أصبحت الموجّهات والكاميرات وأجهزة التخزين المتصلة بالشبكة وأجهزة البث والتلفزيونات وغيرها من الأجهزة المتصلة هدفًا مهمًا.
بعض هذه الأجهزة يعمل بشكل مستمر لسنوات، ولا يراقب صاحبه العمليات التي تعمل داخله كما يفعل في الكمبيوتر، وقد يستخدم Firmware قديمًا أو يكون قد وصل إلى نهاية فترة الدعم.
في يونيو 2025 حذّر FBI من BADBOX 2.0، وهي Botnet شملت وفق التحذير ملايين الأجهزة المصابة، من بينها أجهزة Android وIoT، واستخدمت لتوفير وصول إلى Proxy Services يمكن استغلالها في أنشطة إجرامية.
كما أوضح المركز الوطني للأمن السيبراني البريطاني NCSC في 2026 أن شبكات من Routers وأجهزة IoT وSmart Devices مخترقة أصبحت تُستخدم كبنية تحتية خفية لدعم مراحل مختلفة من العمليات السيبرانية، وليس فقط لتنفيذ DDoS.
هل Mirai ما زالت المثال الوحيد على IoT Botnets؟
لا. كانت Mirai محطة تاريخية مهمة لأنها أظهرت حجم الخطر الناتج عن السيطرة على أعداد كبيرة من أجهزة إنترنت الأشياء، كما أدى نشر كودها إلى ظهور مشتقات عديدة. لكن الاعتماد عليها وحدها لفهم مشهد Botnet الحديث يعطي صورة ناقصة.
الحملات الحديثة تستهدف أيضًا Routers وAndroid TV Boxes وأجهزة Edge وخوادم وتطبيقات مختلفة، وقد يكون الهدف إنشاء Residential Proxy Network أو إخفاء البنية التحتية لمهاجم آخر أو توزيع Malware، وليس تنفيذ DDoS فقط.
كيف تعرف أن جهازك قد يكون جزءًا من Botnet؟
لا توجد علامة واحدة تستطيع وحدها إثبات أن الجهاز Bot. ارتفاع استهلاك الإنترنت أو بطء الكمبيوتر قد يكون له عشرات الأسباب الطبيعية. ما يهم هو اجتماع مؤشرات غير معتادة مع وجود دليل تقني إضافي.
من الإشارات التي تستحق الفحص:
- اتصالات صادرة متكررة إلى وجهات غير مألوفة.
- DNS Queries دورية أو إلى نطاقات غير متوقعة.
- ارتفاع غير مبرر في Outbound Traffic.
- Process أوService مجهولة تحافظ على اتصال خارجي.
- برامج أو تطبيقات لم يثبتها المستخدم.
- تغييرات غير معروفة في إعدادات Router أوDNS.
- تعطل أدوات الحماية أو توقف تحديثها دون سبب.
- Login Attempts أواتصالات خارجية كثيرة لا تتناسب مع استخدام الجهاز.
- استهلاك CPU أوBandwidth أثناء فترات يفترض أن يكون الجهاز فيها خاملًا.
هذه العلامات لا تعني تلقائيًا وجود Botnet؛ إنها أسباب لبدء التحقيق.
كيف تكتشف المؤسسات اتصالات Botnet؟
الكشف الأفضل يعتمد على الجمع بين بيانات Endpoint وNetwork بدل انتظار ظهور عرض واضح على شاشة المستخدم.
يمكن لفرق الدفاع الاستفادة من:
- EDR أوEndpoint Protection لرؤية Processes والسلوك على الجهاز.
- DNS Logs للبحث عن استعلامات غير معتادة أو دورية.
- Firewall وProxy Logs لمراجعة الاتصالات الصادرة.
- IDS/IPS وNetwork Security Monitoring.
- NetFlow أوبيانات حركة الشبكة لمعرفة الأنماط غير الطبيعية.
- Threat Intelligence لإضافة سياق إلى Domains وIPs والمؤشرات المكتشفة.
- Asset Inventory لمعرفة الأجهزة الموجودة فعليًا ومن المسؤول عنها وإصداراتها.
ومن الأدوات التي يمكن أن تساعد المحلل في دراسة Traffic والسجلات Wireshark وSuricata وSecurity Onion وغيرها، ويشرح دليل أدوات الأمن السيبراني حسب التخصص وظيفة كل فئة بدل استخدام الأدوات عشوائيًا.
ماذا تفعل إذا اكتشفت جهازًا مصابًا؟
الهدف ليس فقط حذف Malware، بل قطع التحكم ومعالجة سبب الاختراق ومنع عودة الجهاز إلى الشبكة.
- اعزل الجهاز عند الحاجة: افصله عن الشبكات الحساسة أوامنع اتصالاته الخارجية وفق خطة الاستجابة المناسبة.
- لا تدمر الأدلة المهمة في بيئة العمل: إذا كانت الإصابة جزءًا من حادث مؤسسي، قد تحتاج فرق الأمن إلى Logs أوMemory أوDisk Evidence قبل إعادة تهيئة الجهاز.
- حدد طريقة الدخول: هل كانت ثغرة، Credential مسروقة، برنامجًا خبيثًا، خدمة مكشوفة أم جهازًا غير مدعوم؟
- أزل الإصابة أوأعد بناء النظام: القرار يعتمد على طبيعة البرمجية ودرجة الثقة في إمكانية تنظيف الجهاز.
- حدّث النظام والبرامج وFirmware: خصوصًا إذا استغلت الإصابة ثغرة معروفة.
- غيّر بيانات الاعتماد المعرضة للخطر: نفّذ ذلك من جهاز نظيف، ولا تفترض أن Password الموجودة على الجهاز المصاب ما زالت سرية.
- ابحث عن أجهزة أخرى: قد تكون الإصابة الواحدة مجرد جزء من نشاط أوسع داخل الشبكة.
- راقب ما بعد الاستعادة: تأكد من عدم عودة الاتصالات أوPersistence أوالإعدادات غير الطبيعية.
ماذا عن Router أوجهاز IoT؟
قد لا تتوفر على هذه الأجهزة أدوات فحص مثل الموجودة في Windows أوLinux. حسب الجهاز والحادث قد تكون الاستجابة المناسبة تحديث Firmware، وإعادة ضبط المصنع، وتغيير بيانات الإدارة، وتعطيل الخدمات المكشوفة، ثم إعادة إعداد الجهاز من مصدر موثوق.
إذا كان الجهاز قد وصل إلى End of Life ولا توجد تحديثات أمنية متاحة له، فقد يكون استبداله أكثر أمانًا من الاستمرار في تشغيل جهاز مكشوف لا يمكن معالجة ثغراته.
لماذا لا يكفي حذف Malware فقط؟
لأن الإصابة نتيجة وليست دائمًا السبب الجذري. إذا دخل المهاجم عبر كلمة مرور افتراضية أوثغرة لم تُصحح أوواجهة إدارية مكشوفة، يمكن أن تحدث الإصابة مرة أخرى بعد دقائق أوأيام من التنظيف.
وقد يكون Bot قد جمع Passwords أوTokens قبل اكتشافه، أوحمّل Malware أخرى إلى الجهاز. لذلك يجب أن تشمل الاستجابة Eradication وRecovery ومعالجة Initial Access، وليس تشغيل Antivirus ثم اعتبار الحادث منتهيًا.
كيف تمنع أجهزتك من الانضمام إلى Botnet؟
- ثبّت تحديثات أنظمة التشغيل والتطبيقات وFirmware بانتظام.
- استبدل الأجهزة التي انتهى دعمها الأمني.
- غيّر Default Credentials ولا تعِد استخدام كلمات المرور نفسها.
- عطّل Services وواجهات الإدارة التي لا تحتاج إليها.
- لا تعرض لوحات إدارة Routers والأجهزة مباشرة للإنترنت دون ضرورة وضوابط مناسبة.
- فعّل MFA للحسابات والواجهات التي تدعمها.
- قسّم أجهزة IoT عن الأنظمة والبيانات الحساسة عندما تكون بنية الشبكة تسمح بذلك.
- راقب الاتصالات الصادرة، وليس حركة المرور الداخلة فقط.
- اعرف ما الأجهزة المتصلة بشبكتك وما إصداراتها وحالة دعمها.
- نزّل التطبيقات وFirmware من المصادر الرسمية الموثوقة.
إذا كنت تريد بناء أساس أوسع لفهم هذه الضوابط، يوضح دليل تعلم الأمن السيبراني من الصفر العلاقة بين الشبكات والأنظمة وLogging وMonitoring والاستجابة للحوادث بدل دراسة كل تهديد بصورة منفصلة.
كيف يتم تعطيل Botnet كبيرة؟
إيقاف شبكة روبوتات لا يعني دائمًا اعتقال شخص واحد أوإغلاق Server واحد. قد تجمع عمليات التعطيل بين مصادرة Domains وخوادم، وتعطيل C2، وإجراءات قانونية، ومشاركة Indicators مع مزودي الإنترنت، وإخطار الضحايا، والعمل مع شركات الأمن والجهات الدولية.
في نوفمبر 2025 أعلنت Europol عن مرحلة جديدة من Operation Endgame استهدفت بنية تحتية شملت Elysium Botnet إلى جانب أدوات خبيثة أخرى، وانتهت بتعطيل أكثر من ألف خادم مرتبط بالبنية المستهدفة.
لكن نجاح Takedown لا يعني أن مفهوم Botnet اختفى؛ يمكن للمهاجمين تغيير البرمجيات أوالبنية أوالأجهزة المستهدفة، ولهذا تبقى إزالة الإصابات من أجهزة الضحايا ومعالجة نقاط الدخول جزءًا أساسيًا من الحل.
هل Web Bots وAI Bots هي نفسها Botnet؟
لا. كلمة Bot تعني عمومًا برنامجًا ينفذ مهام آلية، ويمكن أن يكون الاستخدام شرعيًا مثل محرك بحث يقوم بزيارة صفحات الويب أوخدمة آلية تنفذ مهمة مصرحًا بها.
أما Botnet في السياق الأمني فتشير عادة إلى مجموعة أجهزة أوأنظمة أصبحت تحت تحكم جهة غير مصرح لها وتستخدم لتنفيذ نشاط خبيث أوغير موافق عليه. لذلك لا ينبغي الخلط بين Web Crawler شرعي وجهاز مخترق داخل شبكة روبوتات.
الخلاصة
Botnet ليست فيروسًا واحدًا ولا اسمًا آخر لهجوم DDoS. إنها بنية تسمح لجهة خبيثة بالتحكم في مجموعة من الأجهزة المصابة واستخدامها بصورة منسقة.
يمكن تلخيص دورة العمل في مسار: Initial Access → Infection/Persistence → Command and Control → Tasks → Impact. وقد تكون النتيجة DDoS أوSpam أوMalware Delivery أوسرقة بيانات أوResidential Proxy Network أوأنشطة أخرى.
أما الدفاع الفعّال فيبدأ قبل الإصابة بتحديث الأجهزة وتقليل الخدمات المكشوفة وتأمين Credentials ومراقبة الشبكة، ويستمر بعد الاكتشاف بعزل الجهاز وإزالة الإصابة ومعالجة سبب الدخول وتغيير البيانات التي ربما تعرضت للخطر والبحث عن أجهزة أخرى متأثرة.