Всеки път, когато голям ботнет бива неутрализиран, общността по киберсигурност празнува — и то с право. Тези операции са технически сложни, изискват международно сътрудничество и значително затрудняват живота на киберпрестъпниците.

Проблемът е, че техният успех често се измерва с това, което изчезва, а не със заплахата, която остава.

Неотдавнашни наблюдения от второто тримесечие на 2026 г. илюстрират защо тази разлика е от значение.

В продължение на повече от две години всеки нов рекорд сякаш засенчваше предишния. Най-големите ботнети, които наблюдавахме, нараснаха от 136 000 устройства през 2023 г. до 228 000 през 2024 г., след това до 5,76 милиона през 2025 г. и накрая до рекордните 13,5 милиона устройства през първото тримесечие на 2026 г. След това за първи път тенденцията се обърна. През второто тримесечие най-големият ботнет, който наблюдавахме, се състоеше от едва 2,09 милиона устройства.

Моментът силно подсказва, че един от факторите зад този спад е координираната международна операция, проведена през март 2026 г. от правоприлагащите органи в САЩ, Канада и Германия. Операцията прекъсна инфраструктурата, използвана от няколко известни ботнета, включително Aisiru и Kimwolf, доказвайки, че координираните международни действия могат успешно да разрушат дори най-големите киберпрестъпни екосистеми.

В този смисъл свалянето на ботнети изглежда е проработило. Но по-важният въпрос за защитниците е какво следва оттук нататък.

Разбира се, прекъсването на инфраструктурата за командване и управление (C2) на ботнета беше важна стъпка. Всичко това обаче малко вероятно обяснява напълно мащаба на спада, наблюдаван през второто тримесечие на 2026 г. Вероятно са действали и други фактори.

Големите операции на правоприлагащите органи често привличат значително обществено внимание, подтиквайки интернет доставчиците, доставчиците на решения за сигурност, CERT екипите и изследователите да интензифицират усилията си за идентифициране на заразени устройства, разпространение на корекции за сигурност и премахване на зловреден код от компрометирани системи. Рутинната подмяна на харддуер и модернизацията на мрежите също могат постепенно да намалят броя на уязвимите устройства, свързани към интернет.

Въпреки че е възможно да се определи точният принос на всеки фактор, комбинираният ефект предоставят най-вероятното обяснение за спада, наблюдаван през второто тримесечие на 2026 г.

По-трудният въпрос е колко устойчива ще бъде тази промяна.

Икономиката все още е в полза на атакуващите

Има основателни причини да се вярва, че този спад може да се окаже временен. Основните условия, които позволяват появата на големи ботнети, остават до голяма степен непроменени, докато новите технологии все повече работят в полза на атакуващите.

Фундаменталната причина е, че търсенето на DDoS атаки не е изчезнало. Докато има лица и организации, готови да плащат за услуги от типа „DDoS под наем“ (DDoS-for-hire), операторите на ботнети ще имат силен стимул да възстановят загубената инфраструктура или да създадат напълно нови ботнети.

От страна на предлагането разходите за изграждане и управление на ботнети продължават да спадат. Броят на устройствата, свързани към интернет, продължава да нараства в световен мащаб, като много от тях все още получават редки обновления за сигурност или остават уязвими дълго след разкриването на известни недостатъци. Междувременно автоматизацията, базирана на изкуствен интелект (AI), прави по-бързо и по-ефективно за атакуващите да откриват уязвими системи, да приоритезират цели и да ги компрометират в голям мащаб.

В резултат на това въпросът вече не е колко бързо даден ботнет може да се възстанови след сваляне. В много случаи операторите просто изоставят прекъснатата инфраструктура и вместо това изграждат нови ботнети. Други киберпрестъпници също могат да се намесят, виждайки възможност да запълнят нишата на пазара. В крайна сметка това, което има значение, е, че икономиката все повече облагодетелства атакуващите. Докато тези условия остават непроменени, нови мащабни ботнети ще продължат да се появяват.

Как блокчейн променя ботнетите

Повторното изграждане е само една форма на адаптация. По-важното е, че някои оператори препроектират инфраструктурата на ботнетите около самите слабости, които операциите по сваляне използват.

Едно от най-значимите развития, които наблюдаваме тази година, е преходът от традиционна командна инфраструктура, помещавана в обществения интернет, към децентрализирани алтернативи, базирани на блокчейн.

Ботнети като Aeternum и Void илюстрират тази тенденция. Вместо да се свързват към специализиран C2 сървър, заразените устройства наблюдават интелигентни договори (smart contracts), внедрени в блокчейн мрежите Polygon и Ethereum. Тези смарт договори съдържат шифровани инструкции или указатели към допълнителна инфраструктура, което позволява на авторите на заплахата да разпространяват команди, без да разчитат на единен сървър, който може да бъде конфискуван или свален от мрежата.

Изборът на блокчейн не е случаен. Polygon и Ethereum са сред най-големите блокчейн мрежи в света, поддържащи огромни обеми от легитимна икономическа дейност. Прекъсването на командния канал в крайна сметка би изисквало прекъсване на самата лежаща отдолу блокчейн мрежа — нещо, което нито е технически осъществимо, нито е икономически приемливо.

Това не прави базираните на блокчейн ботнети невъзможни за разследване или неутрализиране. Изправя обаче пред сериозно предизвикателство един от най-ефективните елементи на традиционните методи за противодействие.