PGDCA, BCA, B-Tech, MCA, M-Tech, B.Sc computer science राजस्थान सूचना सहायक व कंप्यूटर शिक्षक विशेष नोट्स: इस अध्याय में हम Botnets, Zombies and Command & Control (C2) Infrastructure (बॉटनेट (Botnets), जोम्बी कंप्यूटर और C2 सर्वर आर्किटेक्चर) की संपूर्ण थ्योरी, मुख्य तकनीकी बिंदु, तुलनात्मक तालिका और विगत परीक्षाओं के पैटर्न पर आधारित 20 अति-महत्वपूर्ण बहुविकल्पीय प्रश्न (MCQs) विस्तृत हिंदी व अंग्रेजी व्याख्या सहित पढ़ेंगे।
Overview: Botnets unite thousands or millions of compromised zombie hosts—from enterprise desktops to poorly secured IoT devices—under a Botmaster's Command-and-Control (C2) infrastructure to launch DDoS floods, spam, and credential theft. Resilient botnets employ P2P topologies, Fast-Flux DNS, and Domain Generation Algorithms (DGAs), countered via DNS sinkholing and beacon telemetry.
अध्याय सार: बॉटनेट हजारों या लाखों संक्रमित ज़ॉम्बी कंप्यूटरों और असुरक्षित IoT उपकरणों का नेटवर्क होता है, जिसे बॉटमास्टर अपने Command-and-Control (C2) इंफ्रास्ट्रक्चर से नियंत्रित कर DDoS हमले, स्पैम और डेटा चोरी करता है। बचाव से बचने के लिए आधुनिक बॉटनेट P2P टोपोलॉजी, Fast-Flux DNS और DGA का उपयोग करते हैं, जिन्हें DNS सिंकहोलिंग और बीकन विश्लेषण द्वारा रोका जाता है।
Botnets, Zombies and Command & Control (C2) Infrastructure: Detailed Notes & Architecture (बॉटनेट (Botnets), जोम्बी कंप्यूटर और C2 सर्वर आर्किटेक्चर)
1. Botnet Ecosystem: Zombies, Botmasters and IoT Recruitment (बॉटनेट पारिस्थितिकी: ज़ॉम्बी, बॉटमास्टर और IoT भर्ती)
[EN] A Botnet is a coordinated army of compromised computing devices—called Bots or Zombies—remotely directed by an attacker known as a Botmaster or Bot-herder. Recruitment leverages phishing trojans, unpatched network worms, or brute-forcing factory credentials on exposed devices; for instance, the 2016 Mirai botnet scanned TCP ports 23 and 2323 (Telnet) using 60+ hardcoded default username/password pairs to enslave hundreds of thousands of IP cameras and routers. Once recruited, zombies silently execute monetized tasks including volumetric DDoS amplification attacks, spam email campaigns, click fraud, cryptocurrency mining, and residential proxy laundering.
[HI] बॉटनेट संक्रमित कंप्यूटरों और उपकरणों—जिन्हें बॉट्स या ज़ॉम्बी (Zombies) कहा जाता है—का एक संगठित नेटवर्क है, जिसे 'बॉटमास्टर' दूर से नियंत्रित करता है। नए ज़ॉम्बी जोड़ने के लिए फ़िशिंग ट्रोजन, नेटवर्क वॉर्म या डिफ़ॉल्ट पासवर्ड ब्रूट-फोर्स का उपयोग होता है; जैसे 2016 के Mirai बॉटनेट ने पोर्ट 23/2323 (Telnet) पर 60 से अधिक डिफ़ॉल्ट पासवर्ड आज़माकर लाखों IoT कैमरों व राउटरों को ज़ॉम्बी बनाया और बड़े DDoS हमले किए। बॉटनेट का उपयोग स्पैम भेजने, क्रिप्टोमाइनिंग और प्रॉक्सी नेटवर्क बेचने में भी होता है।
2. C2 Architectures: Centralized (IRC/HTTP) vs Peer-to-Peer (P2P) vs Hybrid (C2 आर्किटेक्चर: केंद्रीकृत बनाम P2P और हाइब्रिड मॉडल)
[EN] Command-and-Control (C2) topology determines both botnet efficiency and resilience against law enforcement takedowns. Centralized C2 architectures use IRC channels (joining `#bot` rooms and parsing `PRIVMSG` commands) or HTTP/HTTPS REST polling (bots periodically `GET` instructions from a central web panel), delivering low latency yet creating a critical Single Point of Failure (SPOF). Decentralized Peer-to-Peer (P2P) botnets (such as Storm, Conficker.C, and ZeroAccess) exchange cryptographically signed commands directly across fellow zombie peers so seizing one server cannot dismantle the botnet. Hybrid architectures blend P2P with Tor `.onion` gateways or Dead-Drop Resolvers on legitimate cloud services.
[HI] Command-and-Control (C2) संरचना यह तय करती है कि बॉटनेट कितनी तेजी से आदेश भेजेगा और टेकडाउन से कितना सुरक्षित रहेगा। केंद्रीकृत (Centralized) C2 में सभी ज़ॉम्बी एक मुख्य IRC या HTTP/HTTPS सर्वर से निर्देश लेते हैं; यह तेज़ है लेकिन एक सर्वर ब्लॉक होते ही पूरा बॉटनेट निष्क्रिय (Single Point of Failure) हो जाता है। इसके विपरीत Peer-to-Peer (P2P) बॉटनेट (जैसे Storm या ZeroAccess) आपस में ही हस्ताक्षरित कमांड बांटते हैं जिससे उन्हें बंद करना बेहद कठिन होता है। हाइब्रिड मॉडल में Tor `.onion` या वैध क्लाउड सेवाओं (Dead-Drop) का भी प्रयोग होता है।
3. Resilience Techniques: Fast-Flux DNS, DGA and Beaconing Jitter (बचाव तकनीकें: Fast-Flux DNS, DGA और बीकनिंग जिटर)
[EN] To prevent defenders from blacklisting static C2 IP addresses and domains, botnets implement dynamic resolution evasion. Single-Flux (Fast-Flux) DNS maps one C2 domain to hundreds of compromised bot proxies, cycling returned IP addresses every 60–300 seconds via ultra-low TTL values; Double-Flux additionally rotates the authoritative `NS` records themselves. Domain Generation Algorithms (DGAs) compute thousands of pseudo-random domain names daily from a shared seed (e.g., current UTC date + secret key)—the bot queries them sequentially until reaching whichever single domain the botmaster registered that day. Meanwhile, randomized beacon Jitter (e.g., sleeping `60s +/- 30%`) disguises rhythmic HTTP heartbeats.
[HI] स्थिर IP या डोमेन ब्लॉकिंग से बचने के लिए बॉटनेट गतिशील तकनीक अपनाते हैं। Fast-Flux DNS में एक ही डोमेन का IP पता अत्यंत कम TTL (60-300 सेकंड) के साथ सैकड़ों संक्रमित प्रॉक्सी मशीनों के बीच लगातार घूमता रहता है, जबकि Double-Flux में ऑथोरिटेटिव `NS` सर्वर भी घूमते हैं। Domain Generation Algorithm (DGA) तारीख और सीड के आधार पर रोज़ हजारों रैंडम डोमेन बनाता है; बॉट उन पर लगातार DNS क्वेरी करता है जब तक बॉटमास्टर द्वारा पंजीकृत डोमेन न मिल जाए। बीकन स्लीप टाइम में Jitter (यादृच्छिक अंतराल) जोड़कर नेटवर्क मॉनिटरिंग को चकमा दिया जाता है।
4. C2 Detection, DNS Sinkholing and Botnet Disruption (C2 की पहचान, DNS सिंकहोलिंग और बॉटनेट निष्क्रियता)
[EN] Network security teams uncover C2 traffic by analyzing telemetry metadata rather than relying solely on decrypted packet payloads. Repeated `NXDOMAIN` (non-existent domain) DNS error spikes from a single internal workstation strongly signal an active DGA bot probing unregistered candidate domains, while tools like Zeek and RITA score periodic outbound HTTP/TLS beaconing intervals and abnormal JA3/JA4 TLS client fingerprints. Once C2 domains are identified, defenders and CERT teams perform DNS Sinkholing—registering upcoming DGA domains or seizing DNS delegation to route zombie beacons to a harmless research sinkhole server for cleanup notification.
[HI] नेटवर्क सुरक्षा टीमें बिना TLS डिक्रिप्ट किए भी मेटाडेटा विश्लेषण से C2 ट्रैफिक पकड़ती हैं। किसी एक कंप्यूटर से अचानक बड़ी संख्या में `NXDOMAIN` DNS त्रुटियां आना DGA आधारित बॉटनेट का स्पष्ट संकेत है, जबकि Zeek और RITA जैसे टूल आवधिक आउटबाउंड बीकनिंग और असामान्य JA3/JA4 TLS फिंगरप्रिंट पहचानते हैं। C2 डोमेन की पहचान होने पर CERT और सुरक्षा शोधकर्ता DNS सिंकहोलिंग करते हैं—अर्थात उन डोमेन को अपने नियंत्रण वाले सुरक्षित सिंकहोल सर्वर की ओर मोड़ देते हैं ताकि संक्रमित सिस्टमों की गिनती हो सके और उन्हें साफ किया जा सके।
Syntax, Formula & Technical Example (Botnets, Zombies and Command & Control (C2) Infrastructure)
# Simplified DGA Concept (Educational) & Zeek/DNS Telemetry Hunting
import hashlib, datetime
def dga_domain(seed="bot2026", idx=0):
day = datetime.date.today().strftime("%Y-%m-%d")
h = hashlib.sha256(f"{seed}:{day}:{idx}".encode()).hexdigest()[:12]
return f"{h}.biz" # Generates deterministic daily candidate domains
# Blue Team SIEM / Zeek DNS Hunt for DGA Activity:
# Filter dns.log where rcode_name == 'NXDOMAIN' grouped by source IP
# High unique NXDOMAIN count (>100/min) from one host => Likely DGA BotBotnets, Zombies and Command & Control (C2) Infrastructure Quick Reference & Comparison Table
| Botnet Component / Technique | Operational Mechanism & Architecture | Key Detection / Takedown Fact |
|---|---|---|
| Centralized C2 (IRC/HTTP) | Zombies connect or poll one central command server/panel | Low latency, but Single Point of Failure |
| Peer-to-Peer (P2P) C2 | Bots relay signed commands directly node-to-node | No central server; resilient to takedown |
| Fast-Flux / Double-Flux DNS | Cycles C2 A-records (and NS in Double) via 60-300s TTL | Detected via short TTL + diverse ASN IPs |
| Domain Generation Algorithm | Computes daily pseudo-random C2 domains from shared seed | Causes NXDOMAIN spikes; countered by Sinkholing |
Botnets, Zombies and Command & Control (C2) Infrastructure Top 20 Bilingual MCQs with Answers
Q1. Why do Botmasters switch from Centralized HTTP/IRC C2 servers to Peer-to-Peer (P2P) C2 architectures?
(बॉटमास्टर केंद्रीकृत HTTP/IRC C2 सर्वरों के बजाय Peer-to-Peer (P2P) C2 आर्किटेक्चर का उपयोग क्यों करते हैं?)
(A) P2P reduces initial malware binary size to under 10 bytes
(B) P2P automatically upgrades CPU clock speeds on victim laptops
(C) P2P eliminates the Single Point of Failure (SPOF) because signed commands propagate across fellow zombies even if individual nodes are blocked
(D) P2P works without any network interface card or IP address
Correct Answer: (C)
[EN] If law enforcement seizes a single centralized C2 server, all bots go dark; in P2P botnets (Conficker.C, ZeroAccess), every bot acts as both client and server.
[HI] केंद्रीकृत सर्वर के ब्लॉक होते ही पूरा बॉटनेट बंद हो जाता है, जबकि P2P बॉटनेट में कोई एक केंद्रीय बिंदु न होने से वे टेकडाउन के प्रति अधिक सहनशील होते हैं।
Q2. What anomaly in enterprise DNS resolver logs is the clearest hallmark of a Domain Generation Algorithm (DGA) bot searching for its C2 server?
(एंटरप्राइज DNS लॉग में कौन सी विसंगति किसी DGA (Domain Generation Algorithm) बॉट द्वारा अपने सक्रिय C2 सर्वर को खोजने का सबसे स्पष्ट संकेत है?)
(A) A sudden burst of high-entropy, pseudo-random `NXDOMAIN` (non-existent domain) responses originating from one host
(B) Zero DNS queries occurring over an entire 30-day month
(C) Standard `AAAA` queries for `www.google.com` returning HTTP 200
(D) A single `PTR` reverse lookup for the local gateway router
Correct Answer: (A)
[EN] Because the botmaster only registers 1 or 2 out of thousands of daily DGA-generated domains, the infected zombie generates hundreds of failed `NXDOMAIN` lookups before finding the live C2.
[HI] चूंकि बॉटमास्टर रोज़ बनने वाले हजारों DGA डोमेन में से केवल 1-2 ही रजिस्टर करता है, इसलिए संक्रमित बॉट को सही C2 मिलने से पहले सैकड़ों `NXDOMAIN` त्रुटियां होती हैं।
Q3. How did the 2016 Mirai botnet recruit hundreds of thousands of IP cameras, DVRs, and home routers so rapidly without browser phishing?
(2016 के Mirai बॉटनेट ने बिना किसी ब्राउज़र फ़िशिंग के लाखों IP कैमरों, DVR और होम राउटरों को इतनी तेजी से कैसे संक्रमित किया?)
(A) It actively scanned TCP ports 23 and 2323 (Telnet) across IPv4 ranges and logged in using ~60 hardcoded factory-default credentials
(B) It mailed trojanized USB thumb drives to telecom technicians
(C) It cracked 256-bit AES TLS keys inside smart TVs
(D) It exploited a Microsoft Word `.docm` VBA macro vulnerability inside cameras
Correct Answer: (A)
[EN] Mirai automated scanning for open Telnet ports and brute-forced manufacturer defaults (like `admin:xc3511` or `root:vizxv`) to turn IoT devices into a record-breaking DDoS botnet.
[HI] Mirai ने इंटरनेट पर खुले Telnet पोर्ट (23/2323) को स्कैन किया और ~60 डिफ़ॉल्ट फैक्ट्री यूजरनेम-पासवर्ड से लॉगिन करके लाखों IoT डिवाइस को बॉटनेट में बदल दिया।
Q4. What is the exact technical difference between 'Single-Flux' and 'Double-Flux' Fast-Flux DNS hosting?
('सिंगल-फ्लक्स' (Single-Flux) और 'डबल-फ्लक्स' (Double-Flux) Fast-Flux DNS होस्टिंग के बीच सटीक तकनीकी अंतर क्या है?)
(A) Single-Flux updates once per year while Double-Flux updates once per decade
(B) Single-Flux encrypts packets once while Double-Flux hashes them twice with MD5
(C) Single-Flux uses IPv4 while Double-Flux uses Bluetooth Low Energy
(D) Single-Flux rapidly rotates the C2 domain's IP (`A`) records with low TTLs, whereas Double-Flux rotates both the `A` records and the authoritative `NS` (Name Server) records
Correct Answer: (D)
[EN] Double-Flux adds a second layer of resilience by constantly changing the authoritative DNS name servers (`NS` records) themselves through bot-hosted DNS proxies.
[HI] सिंगल-फ्लक्स में केवल C2 डोमेन का `A` रिकॉर्ड (IP) तेजी से बदलता है, जबकि डबल-फ्लक्स में `A` रिकॉर्ड के साथ-साथ ऑथोरिटेटिव `NS` (Name Server) रिकॉर्ड भी लगातार बदलते हैं।
Q5. What is 'DNS Sinkholing' in botnet incident response and threat intelligence?
(बॉटनेट घटना प्रतिक्रिया और थ्रेट इंटेलिजेंस में 'DNS सिंकहोलिंग' (DNS Sinkholing) क्या होता है?)
(A) Permanently deleting the corporate Active Directory forest
(B) Overloading the attacker's home router with ICMP echo floods
(C) Encrypting internal employee hard drives with BitLocker
(D) Redirecting DNS resolution of malicious C2 or DGA domains to a defender-controlled benign IP server to sever attacker control and map infected victims
Correct Answer: (D)
[EN] By capturing or configuring local/global DNS records for C2 domains to point to a sinkhole IP, defenders block real C2 commands and log every beaconing victim IP.
[HI] DNS सिंकहोलिंग में दुर्भावनापूर्ण C2 या DGA डोमेन के DNS उत्तर को शोधकर्ता/रक्षक के सुरक्षित सिंकहोल सर्वर पर मोड़ दिया जाता है, जिससे हमलावर का संपर्क टूट जाता है और संक्रमित होस्ट पहचाने जाते हैं।
Q6. Why do modern C2 implants add randomized 'Jitter' (e.g., 30% variance around a 60-second sleep timer) to their HTTP check-in beacons?
(आधुनिक C2 इम्प्लांट अपने HTTP चेक-इन बीकन में यादृच्छिक 'जिटर' (Jitter—जैसे 60 सेकंड में ±30% बदलाव) क्यों जोड़ते हैं?)
(A) To synchronize CPU clock frequencies with NTP servers
(B) To compress HTTP POST payloads by 30 percent
(C) To bypass physical Ethernet RJ-45 cable length limits
(D) To break strict periodic regularity (exact 60.0s spikes) so anomaly detectors like RITA/SIEM scripts have a harder time distinguishing C2 heartbeats from normal browsing
Correct Answer: (D)
[EN] Fixed-interval beaconing creates crisp periodicity spikes in connection timestamp graphs; jitter introduces human-like variance to mask automated check-ins.
[HI] यदि बॉट हर ठीक 60.0 सेकंड पर संपर्क करे, तो नेटवर्क विश्लेषण टूल उसे आसानी से पकड़ लेते हैं; जिटर समय में अनियमितता लाकर सामान्य मानव ब्राउजिंग जैसा भ्रम पैदा करता है।
Q7. In a Botnet lifecycle, what role does a 'Zombie' (or Bot) play?
(बॉटनेट जीवनचक्र में 'ज़ॉम्बी' (Zombie या Bot) की क्या भूमिका होती है?)
(A) An unpatched DNS root server operated by ICANN
(B) An infected endpoint running covert malware that awaits and executes commands sent remotely by the Botmaster
(C) The human cybercriminal writing C2 server code
(D) The firewall hardware appliance blocking DDoS attacks
Correct Answer: (B)
[EN] A Zombie is the compromised computer/IoT device acting unconsciously at the behest of the Botmaster—often while its legitimate owner notices little or nothing.
[HI] ज़ॉम्बी वह संक्रमित कंप्यूटर या IoT डिवाइस है जो अपने असली मालिक की जानकारी के बिना बॉटमास्टर के रिमोट आदेशों का पालन करता है।
Q8. What is a 'Dead-Drop Resolver' in modern stealth C2 communication?
(आधुनिक स्टेल्थ C2 संचार में 'डेड-ड्रॉप रिज़ॉल्वर' (Dead-Drop Resolver) क्या होता है?)
(A) Dropping physical USB drives in an office parking lot
(B) Using ARP poisoning on local layer-2 switches
(C) Using legitimate, high-reputation public web platforms (like GitHub Gists, Reddit, Pastebin, or cloud storage) to host encrypted C2 IP pointers so outbound traffic looks benign
(D) Shutting down a dead server via IPMI power off
Correct Answer: (C)
[EN] Because corporate proxies rarely block trusted sites like GitHub or major cloud APIs, malware fetches an encoded C2 address hidden in a public post first.
[HI] इसमें हमलावर वास्तविक C2 सर्वर का एन्क्रिप्टेड पता GitHub, Pastebin या सोशल मीडिया जैसे वैध व विश्वसनीय प्लेटफॉर्म पर छिपा देते हैं ताकि शुरुआती ट्रैफिक सामान्य दिखे।
Q9. Which statement is NOT true regarding Botnets and C2 Infrastructure?
(बॉटनेट और C2 इंफ्रास्ट्रक्चर के बारे में निम्नलिखित में से कौन सा कथन सत्य नहीं है?)
(A) Fast-Flux networks typically assign very short DNS TTL values (such as 60-300 seconds) to cycle proxy IPs rapidly
(B) Cryptojacking botnets hijack zombie CPU/GPU cycles to mine privacy coins like Monero
(C) DGA bots and botmasters synchronize candidate domain lists by sharing a deterministic seed and algorithm
(D) In an IRC-based centralized botnet, zombies must listen on an open inbound server port while the botmaster connects inward to each PC
Correct Answer: (D)
[EN] Even in IRC botnets, compromised zombies initiate *outbound* TCP connections (e.g., port 6667) to join the IRC C2 server channel—avoiding NAT/inbound firewall blocks.
[HI] IRC-आधारित बॉटनेट में भी ज़ॉम्बी मशीनें खुद बाहर IRC C2 सर्वर से *आउटबाउंड* कनेक्शन जोड़ती हैं; बॉटमास्टर प्रत्येक पीसी के इनबाउंड पोर्ट पर नहीं जुड़ता।
Q10. Why did the 2008 Conficker worm embed a sophisticated DGA generating up to 50,000 domains per day in Conficker.C?
(2008 के Conficker वॉर्म (Conficker.C) ने प्रतिदिन 50,000 तक डोमेन उत्पन्न करने वाला जटिल DGA क्यों जोड़ा था?)
(A) To exhaust local printer spooler memory queues
(B) To make preemptive domain registration and sinkholing across global TLDs astronomically expensive and logistically difficult for defenders
(C) To serve free high-definition video streaming to infected hosts
(D) To launch a brute-force attack against RSA-4096 keys using DNS names
Correct Answer: (B)
[EN] Generating 50,000 domains across 110+ TLDs daily prevented defenders from easily pre-registering every domain, forcing international ICANN/registry coordination.
[HI] प्रतिदिन 110+ TLDs में 50,000 डोमेन बनाने से सुरक्षा एजेंसियों के लिए उन सभी को पहले से रजिस्टर या सिंकहोल करना आर्थिक व व्यावहारिक रूप से अत्यंत कठिन हो गया था।
Q11. How does a 'Residential Proxy Botnet' generate illicit revenue for attackers without launching noisy DDoS floods?
('रेजिडेंशियल प्रॉक्सी बॉटनेट' बिना शोर मचाने वाले DDoS हमले किए हमलावरों के लिए अवैध कमाई कैसे करता है?)
(A) It routes third-party cybercriminal traffic (credential stuffing, ad fraud, scraping) through home victims' ISP IP addresses so requests look like normal consumers
(B) It sends fake invoices to local electricity providers
(C) It turns home Wi-Fi routers into cellular 5G towers
(D) It sells victims' physical SSD hardware on online auctions
Correct Answer: (A)
[EN] Because residential ISP IP blocks have high trust scores compared to cloud VPS ranges, criminals pay botnet operators to proxy automated fraud through home PCs/routers.
[HI] इसमें हमलावर घरेलू उपयोगकर्ताओं के इंटरनेट कनेक्शन और ISP IP को किराए पर प्रॉक्सी नेटवर्क के रूप में बेचते हैं ताकि अन्य अपराधी वैध घरेलू IP के पीछे छिपकर फ्रॉड कर सकें।
Q12. What does a 'JA3' or 'JA4' fingerprint enable network defenders to detect when a Botnet encrypts its C2 channel using TLS/HTTPS?
(जब कोई बॉटनेट अपने C2 चैनल को TLS/HTTPS से एन्क्रिप्ट कर लेता है, तब नेटवर्क रक्षकों को 'JA3' या 'JA4' फिंगरप्रिंट से क्या पता चलता है?)
(A) Whether the user's monitor supports HDR color
(B) The distinctive TLS ClientHello handshake parameters (cipher suites, extensions, elliptic curves) identifying the underlying malware library regardless of destination IP
(C) The exact plaintext Windows Administrator password inside TLS packets
(D) The physical serial number of the victim's motherboard CPU
Correct Answer: (B)
[EN] Custom malware binaries (Go/C++/Python TLS stacks) emit a ClientHello TLS fingerprint distinct from Chrome or Edge, letting IDS flag non-browser HTTPS C2 traffic.
[HI] भले ही पेलोड एन्क्रिप्टेड हो, लेकिन TLS हैंडशेक का ClientHello पैटर्न (सिफर सूट, एक्सटेंशन) बता देता है कि ट्रैफिक सामान्य ब्राउज़र से नहीं बल्कि कस्टम मैलवेयर लाइब्रेरी से आ रहा है।
Q13. During a DDoS attack orchestrated by a Botnet, what happens in a 'DNS/NTP Amplification' attack vs a direct HTTP GET flood?
(बॉटनेट द्वारा किए जाने वाले DDoS हमले में सीधे HTTP GET फ्लड की तुलना में 'DNS/NTP एम्प्लिफिकेशन' में क्या होता है?)
(A) Zombies ask the victim to download a legitimate Windows ISO update
(B) Zombies spoof the victim's IP inside tiny UDP requests to open third-party reflectors, causing massive multi-kilobyte responses to bombard the victim
(C) Amplification only works over encrypted SSH port 22
(D) Amplification requires establishing a full 3-way TCP handshake with the victim
Correct Answer: (B)
[EN] Reflection + amplification exploits stateless UDP protocols (`DNS ANY`, `NTP monlist`, `Memcached`) to multiply attacker bandwidth by 10x to >10,000x while hiding zombie IPs.
[HI] एम्प्लिफिकेशन में बॉट छोटे UDP पैकेट में पीड़ित का नकली (Spoofed) IP डालकर खुले DNS/NTP सर्वरों को भेजते हैं, जिससे कई गुना बड़ा उत्तर पीड़ित पर बरसता है।
Q14. Why is 'Egress BCP 38 (Source Address Validation)' essential for ISPs to curb Botnet-driven Reflection/Amplification DDoS attacks?
(बॉटनेट-संचालित रिफ्लेक्शन/एम्प्लिफिकेशन DDoS हमलों को रोकने के लिए ISPs द्वारा 'BCP 38 (सोर्स एड्रेस वैलिडेशन)' लागू करना क्यों आवश्यक है?)
(A) BCP 38 encrypts home Wi-Fi using WPA3-Enterprise
(B) BCP 38 permanently blocks all UDP port 53 DNS lookups for consumers
(C) BCP 38 forces all web traffic through Tor exit relays
(D) BCP 38 drops outbound packets whose spoofed source IP does not belong to the customer's assigned network prefix, stopping IP spoofing at the source edge
Correct Answer: (D)
[EN] DNS/NTP amplification depends entirely on spoofing the victim's source IP; widespread BCP 38 ingress/egress filtering stops compromised bots from forging source IPs.
[HI] एम्प्लिफिकेशन हमला नकली (Spoofed) सोर्स IP पर निर्भर करता है; BCP 38 ग्राहक के नेटवर्क से बाहर जाने वाले उन पैकेट्स को वहीं रोक देता है जिनका सोर्स IP वैध नहीं है।
Q15. What distinguishes 'HTTP Pull-Based C2' from traditional 'IRC Push-Based C2'?
(पारंपरिक 'IRC पुश-आधारित C2' और 'HTTP पुल-आधारित C2' के बीच क्या अंतर है?)
(A) IRC C2 requires no TCP/IP stack while HTTP C2 requires coaxial Token Ring
(B) In HTTP pull C2, zombies periodically poll a web server for queued tasks (blending into port 80/443), whereas IRC bots hold persistent sockets waiting for pushed channel messages
(C) HTTP C2 cannot cross firewall proxies whereas IRC always bypasses port 443 proxies
(D) IRC C2 can only infect Android tablets
Correct Answer: (B)
[EN] Corporate firewalls usually block IRC port 6667 immediately, motivating botmasters to migrate to HTTP/HTTPS polling over allowed ports 80/443.
[HI] IRC बॉट्स पोर्ट 6667 पर स्थायी कनेक्शन बनाए रखते हैं जिसे फ़ायरवॉल आसानी से ब्लॉक कर देते हैं, जबकि HTTP बॉट्स पोर्ट 80/443 पर समय-समय पर वेब सर्वर से निर्देश खींचते (Pull) हैं।
Q16. How does the open-source tool 'RITA' (Real Intelligence Threat Analytics) hunt Botnet C2 channels on Zeek logs?
(ओपन-सोर्स टूल 'RITA' (Real Intelligence Threat Analytics) Zeek नेटवर्क लॉग्स से बॉटनेट C2 चैनलों की पहचान कैसे करता है?)
(A) It extracts passwords directly from browser SQLite files
(B) It cracks WPA2 Wi-Fi pre-shared keys using GPU hash tables
(C) It mathematically scores connection intervals, data sizes, and long connections across 24-hour Zeek logs to detect periodic C2 beacons and DNS tunneling
(D) It rewrites Linux kernel `iptables` rules automatically via BIOS
Correct Answer: (C)
[EN] RITA evaluates statistical periodicity (bowley skewness/kurtosis of inter-arrival deltas) and byte distribution across all outbound pairs, surfacing disguised beacons even with jitter.
[HI] RITA Zeek लॉग्स में आउटबाउंड कनेक्शनों के समय अंतराल, डेटा आकार और आवधिकता का सांख्यिकीय विश्लेषण करके छिपे C2 बीकन और DNS टनलिंग का पता लगाता है।
Q17. Within Botnets, Zombies and Command & Control (C2) Infrastructure, which botnet component / technique directly maps to: "Zombies connect or poll one central command server/panel"?
(Botnets, Zombies and Command & Control (C2) Infrastructure में कौन सा Botnet Component / Technique सीधे "Zombies connect or poll one central command server/panel" से संबंधित है?)
(A) Centralized C2 (IRC/HTTP)
(B) Peer-to-Peer (P2P) C2
(C) Fast-Flux / Double-Flux DNS
(D) Domain Generation Algorithm
Correct Answer: (A)
[EN] In Botnets, Zombies and Command & Control (C2) Infrastructure, 'Centralized C2 (IRC/HTTP)' handles 'Zombies connect or poll one central command server/panel' (Low latency, but Single Point of Failure).
[HI] Botnets, Zombies and Command & Control (C2) Infrastructure में 'Centralized C2 (IRC/HTTP)' का कार्य/विवरण 'Zombies connect or poll one central command server/panel' (Low latency, but Single Point of Failure) है।
Q18. Which option accurately describes 'Peer-to-Peer (P2P) C2' in Botnets, Zombies and Command & Control (C2) Infrastructure?
(Botnets, Zombies and Command & Control (C2) Infrastructure के संदर्भ में 'Peer-to-Peer (P2P) C2' की सही विशेषता कौन सी है?)
(A) Cycles C2 A-records (and NS in Double) via 60-300s TTL
(B) Zombies connect or poll one central command server/panel
(C) Bots relay signed commands directly node-to-node
(D) Computes daily pseudo-random C2 domains from shared seed
Correct Answer: (C)
[EN] 'Peer-to-Peer (P2P) C2' provides 'Bots relay signed commands directly node-to-node' — key point: No central server; resilient to takedown.
[HI] 'Peer-to-Peer (P2P) C2' का मुख्य विवरण 'Bots relay signed commands directly node-to-node' है (No central server; resilient to takedown)।
Q19. In Botnets, Zombies and Command & Control (C2) Infrastructure, identify the correct parameter for the specification: "Cycles C2 A-records (and NS in Double) via 60-300s TTL".
(Botnets, Zombies and Command & Control (C2) Infrastructure में "Cycles C2 A-records (and NS in Double) via 60-300s TTL" विवरण किस विकल्प के लिए सही है?)
(A) Peer-to-Peer (P2P) C2
(B) Domain Generation Algorithm
(C) Fast-Flux / Double-Flux DNS
(D) Centralized C2 (IRC/HTTP)
Correct Answer: (C)
[EN] 'Fast-Flux / Double-Flux DNS' corresponds to 'Cycles C2 A-records (and NS in Double) via 60-300s TTL' (Detected via short TTL + diverse ASN IPs).
[HI] 'Fast-Flux / Double-Flux DNS' का संबंध 'Cycles C2 A-records (and NS in Double) via 60-300s TTL' (Detected via short TTL + diverse ASN IPs) से है।
Q20. Considering Botnets, Zombies and Command & Control (C2) Infrastructure, what key behavior defines 'Domain Generation Algorithm'?
(Botnets, Zombies and Command & Control (C2) Infrastructure में 'Domain Generation Algorithm' की मुख्य भूमिका या मान क्या है?)
(A) Cycles C2 A-records (and NS in Double) via 60-300s TTL
(B) Bots relay signed commands directly node-to-node
(C) Computes daily pseudo-random C2 domains from shared seed
(D) Zombies connect or poll one central command server/panel
Correct Answer: (C)
[EN] 'Domain Generation Algorithm' represents 'Computes daily pseudo-random C2 domains from shared seed' (Causes NXDOMAIN spikes; countered by Sinkholing).
[HI] 'Domain Generation Algorithm' का अर्थ/मान 'Computes daily pseudo-random C2 domains from shared seed' है (Causes NXDOMAIN spikes; countered by Sinkholing)।
Botnets, Zombies and Command & Control (C2) Infrastructure — Exam FAQs
Q1: What is the difference between a Botnet, a Zombie, and a Botmaster?
बॉटनेट (Botnet), ज़ॉम्बी (Zombie) और बॉटमास्टर (Botmaster) में क्या अंतर है?
[EN] A Zombie (or Bot) is a single infected computer or IoT device controlled remotely without its owner's knowledge; a Botnet is the entire interconnected network of thousands of zombies; and the Botmaster (or Bot-herder) is the human attacker issuing commands via the C2 infrastructure.
[HI] ज़ॉम्बी (या बॉट) मालिक की जानकारी के बिना रिमोट से नियंत्रित होने वाला एक अकेला संक्रमित कंप्यूटर/IoT डिवाइस है; ऐसे हजारों ज़ॉम्बी के पूरे समूह को बॉटनेट कहते हैं; और इन्हें C2 सर्वर से आदेश देने वाले मुख्य हमलावर को बॉटमास्टर कहा जाता है।
Q2: How can a PC owner recognize signs that their computer may have been recruited into a Botnet?
एक सामान्य पीसी उपयोगकर्ता कैसे पहचान सकता है कि उसका कंप्यूटर किसी बॉटनेट में ज़ॉम्बी बन चुका है?
[EN] Warning indicators include unexplained high CPU/fan usage while idle (cryptojacking), sudden outbound bandwidth saturation, unusual spikes in failed DNS (`NXDOMAIN`) queries or unfamiliar connections on ports 6667/4444/8080, and emails bouncing back from unknown recipients (spam relay).
[HI] इसके मुख्य संकेतों में सिस्टम खाली होने पर भी CPU और पंखे का तेज चलना, अचानक इंटरनेट अपलोड बैंडविड्थ भर जाना, अनजान बाहरी IP पर लगातार कनेक्शन या DNS त्रुटियां दिखना और बिना भेजे गए स्पैम ईमेल के बाउंस मैसेज आना शामिल हैं।
Q3: Why can't firewalls simply block a single IP address to stop a Fast-Flux Botnet?
केवल एक IP एड्रेस ब्लॉक करके Fast-Flux बॉटनेट को रोका क्यों नहीं जा सकता?
[EN] Because a Fast-Flux botnet rotates the DNS A-records for its C2 domain every 60 to 300 seconds across hundreds or thousands of shifting compromised zombie IP proxies worldwide—blocking yesterday's IP leaves today's newly rotated proxy IPs reachable.
[HI] क्योंकि Fast-Flux बॉटनेट अपने C2 डोमेन का IP पता हर 60 से 300 सेकंड में दुनिया भर में फैली सैकड़ों संक्रमित प्रॉक्सी मशीनों के बीच बदलता रहता है; इसलिए एक IP ब्लॉक करने के कुछ ही मिनटों में नया IP सक्रिय हो जाता है।
Post a Comment
Post a Comment