Di rumah Anda kemungkinan besar ada beberapa perangkat yang menyala sepanjang hari tanpa pernah diperiksa. Router dari penyedia internet, kamera CCTV di teras, perekam DVR di ruang tengah, dan TV box Android di bawah televisi. Semuanya dipasang sekali, dibiarkan bekerja, lalu praktis dilupakan.
Perangkat semacam ini punya tiga sifat yang sangat menarik bagi penyerang. Ia terhubung ke internet dua puluh empat jam, tidak punya layar yang bisa menampilkan peringatan, dan hampir tidak pernah menerima pembaruan firmware. Antivirus yang biasa Anda pasang di laptop pun tidak bisa berjalan di sana.
Botnet adalah jawaban penyerang atas ketiga sifat tersebut. Alih-alih membobol satu server yang dijaga ketat, mereka mengumpulkan ratusan ribu perangkat rumahan yang tidak dijaga sama sekali, lalu menggunakan seluruhnya secara serentak.
Apa Itu Botnet?
Botnet adalah sekumpulan perangkat terinfeksi yang dikendalikan dari jarak jauh oleh satu pihak, tanpa sepengetahuan pemiliknya. Istilah ini merupakan gabungan dua kata bahasa Inggris, yaitu robot dan network. Jadi kepanjangan botnet secara harfiah berarti "jaringan robot": kumpulan mesin yang menjalankan perintah secara otomatis.
Ada beberapa istilah yang selalu muncul bersamaan dan sebaiknya Anda kenali sejak awal:
- Bot atau zombie: satu perangkat yang sudah terinfeksi dan menunggu perintah. Perangkat ini tetap berfungsi normal bagi pemiliknya, sehingga tidak menimbulkan kecurigaan.
- Botmaster atau bot herder: orang atau kelompok yang mengendalikan seluruh armada tersebut.
- Server C&C (command and control): titik tempat semua bot mengambil perintah. Kita bahas lebih dalam di section tersendiri.
Satu hal perlu diluruskan sejak awal. Botnet bukan nama sebuah virus atau jenis malware tertentu. Botnet adalah bentuk organisasinya. Malware apa pun bisa membentuk botnet selama ia mampu menghubungi pusat kendali dan menerima instruksi. Karena itu pertanyaan "botnet itu virus apa" sebenarnya salah alamat — yang tepat adalah menanyakan malware apa yang membangun botnet tersebut.
Yang membuat botnet berbahaya bukan kecanggihan tiap bot, melainkan jumlahnya. Satu router rumah dengan koneksi 20 Mbps tidak bisa merobohkan apa pun. Tiga juta router yang menembak sasaran yang sama pada detik yang sama adalah cerita yang sepenuhnya berbeda.
Bagaimana Perangkat Biasa Berubah Menjadi Bot
Proses perekrutan sebuah perangkat berlangsung otomatis dan biasanya selesai dalam hitungan detik. Tidak ada manusia yang secara khusus memilih perangkat Anda. Yang terjadi adalah program pemindai yang bekerja tanpa henti menyisir alamat internet satu per satu.
Empat tahap berikut menggambarkan seluruh prosesnya:
Diagram alur cara kerja botnet dari pemindaian hingga perangkat siap dipakai.
Tahap kedua adalah tempat sebagian besar infeksi benar-benar terjadi. Penyerang tidak perlu menemukan celah keamanan baru yang rumit. Mereka mencoba kombinasi kata sandi bawaan pabrik yang jumlahnya beberapa puluh saja, seperti admin/admin atau root/12345. Sebagian besar router dan kamera yang dijual di pasaran memakai kredensial itu, dan pemiliknya tidak pernah menggantinya.
Setelah masuk, malware biasanya memasang jalur akses permanen agar penyerang bisa kembali kapan saja. Mekanismenya mirip dengan backdoor pada umumnya. Bedanya, di sini tujuannya bukan mencuri data dari perangkat tersebut, melainkan meminjam tenaga dan koneksinya.
C&C: Otak yang Mengendalikan Ribuan Perangkat Sekaligus
Tanpa pusat kendali, ratusan ribu bot hanya sekumpulan perangkat terinfeksi yang tidak melakukan apa-apa. Command and control atau C&C adalah saluran yang menyatukan mereka menjadi satu senjata. Lewat saluran inilah botmaster memberi tahu seluruh armada: sasaran mana yang ditembak, jenis serangan apa yang dipakai, dan kapan harus berhenti.
Ada dua bentuk susunan yang umum dipakai, masing-masing dengan konsekuensinya sendiri:
- Terpusat: semua bot menghubungi satu server atau sekelompok kecil server. Perintah menyebar cepat dan botmaster mudah memantau armadanya. Kelemahannya jelas — begitu server itu dimatikan, seluruh botnet lumpuh.
- Peer-to-peer: setiap bot berperan sekaligus sebagai penerima dan penerus perintah, mirip cara kerja jaringan berbagi berkas. Tidak ada titik pusat yang bisa dimatikan. Harganya adalah penyebaran perintah yang lebih lambat dan pengelolaan yang jauh lebih rumit.
Untuk mempersulit pemblokiran, penyerang menambahkan dua teknik penyamaran di lapisan nama domain. Yang pertama disebut DGA (domain generation algorithm), yaitu algoritma yang membuat ribuan nama domain baru setiap hari berdasarkan rumus tertentu. Bot mencoba menghubungi domain-domain itu satu per satu, sementara penyerang cukup mendaftarkan satu saja. Memblokir semuanya nyaris mustahil.
Diagram perbandingan jaringan terpusat dan peer-to-peer dengan koneksi antarperangkat.
Teknik kedua bernama fast flux, yaitu mengganti alamat IP di balik satu nama domain dengan kecepatan sangat tinggi. Keduanya bekerja di lapisan DNS, sistem yang menerjemahkan nama domain menjadi alamat numerik. Inilah alasan pembongkaran botnet besar hampir selalu membutuhkan operasi gabungan lintas negara, bukan sekadar satu perintah pemblokiran.
Bukan Hanya DDoS: Cara Botnet Menghasilkan Uang
Serangan DDoS adalah wajah botnet yang paling sering diberitakan, padahal ia hanya satu dari beberapa cara armada bot diuangkan. Sisanya justru berjalan diam-diam di perangkat rumahan selama berbulan-bulan.
- Serangan DDoS: seluruh bot mengirim permintaan ke satu sasaran secara bersamaan sampai layanan tersebut kehabisan kapasitas. Kapasitas serangan ini juga disewakan dalam model DDoS-for-hire, dengan tarif yang dilaporkan berkisar dari ratusan sampai ribuan dolar per paket.
- Penyewaan IP sebagai residential proxy: koneksi rumah Anda dijadikan jalur keluar bagi trafik orang lain. Karena berasal dari alamat rumahan asli, trafik itu terlihat wajar di mata layanan yang dituju. Bitsight mencatat tarif pasaran layanan semacam ini sekitar tiga dolar AS per gigabyte. Konsepnya sama dengan proxy biasa, hanya saja alamat IP yang dipinjam milik Anda, tanpa persetujuan Anda.
- Credential stuffing: mencoba jutaan pasangan email dan kata sandi hasil kebocoran ke berbagai layanan. Karena percobaan datang dari ribuan alamat berbeda, pembatasan per alamat tidak berguna. Ini kerabat dekat serangan brute force dengan skala jauh lebih besar.
- Click fraud: bot mengklik iklan di situs milik penyerang sendiri untuk memanen komisi. Beberapa analisis industri menempatkan model ini sebagai sumber pendapatan botnet yang paling menguntungkan, melampaui DDoS.
- Pengiriman spam: mengirim email massal dari alamat rumahan yang belum masuk daftar hitam penyedia email. Ini salah satu sebab spam masih sulit diberantas sampai hari ini.
- Penambangan kripto: memakai prosesor perangkat korban untuk menambang mata uang kripto. Hasilnya kecil per perangkat, tetapi menjadi berarti ketika dikalikan ratusan ribu.
Poin kedua layak diberi perhatian lebih. Serangan DDoS berlangsung singkat dan menimbulkan gejala yang terasa, sedangkan penyewaan IP berjalan terus-menerus tanpa tanda mencolok. Yang Anda rasakan hanyalah koneksi melambat pada jam tertentu dan kuota habis lebih cepat.
Infografis enam cara botnet dimanfaatkan, dari serangan DDoS sampai penambangan kripto.
Mirai dan Aisuru: Dua Lompatan Skala Serangan
Dua nama berikut menggambarkan perubahan skala botnet dalam rentang sepuluh tahun, dan keduanya dibangun dari jenis perangkat yang sama: router serta kamera rumahan.
Mirai (2016) adalah program yang menyebar sendiri seperti cacing digital. Ia memindai internet secara acak dan mencoba lebih dari enam puluh kombinasi nama pengguna dan kata sandi bawaan. Pada hari pertama penyebarannya, Mirai sudah menguasai lebih dari 65.000 perangkat. Puncaknya pada November 2016 mencapai lebih dari 600.000 perangkat, dengan populasi yang berlipat ganda setiap sekitar 76 menit di fase awal.
Serangan Mirai ke penyedia hosting OVH menembus angka satu terabit per detik, sementara rekor dunia sebelumnya berada di kisaran 400 gigabit per detik. Pada 21 Oktober 2016, Mirai menyerang penyedia DNS bernama Dyn. Akibatnya GitHub, Twitter, Reddit, Netflix, dan Airbnb sulit diakses dari sebagian besar Amerika Serikat. Tidak satu pun dari layanan itu diserang secara langsung — yang roboh adalah sistem penerjemah nama domain yang mereka pakai bersama.
Kode sumber Mirai kemudian dibocorkan ke publik. Sejak saat itu muncul ratusan turunan, dan salah satu yang terbesar bernama Aisuru.
Aisuru (2025–2026) menyasar kelompok perangkat yang lebih luas: router broadband, kamera CCTV, DVR, sampai perangkat streaming berbasis Android. Pada Desember 2025, serangannya menembus 31,4 terabit per detik dan 200 juta permintaan per detik. Laporan DDoS Arelion tahun 2026 mencatat Aisuru menyumbang sekitar sepertiga dari seluruh trafik serangan DDoS di jaringan mereka.
Pada Maret 2026, Departemen Kehakiman Amerika Serikat bersama otoritas Kanada dan Jerman membongkar infrastruktur C&C Aisuru beserta tiga botnet terkait. Gabungan keempatnya telah menjangkiti lebih dari tiga juta perangkat. Perbandingannya cukup mencolok: dalam sepuluh tahun, jumlah perangkat naik lima kali lipat sementara kapasitas serangan naik lebih dari tiga puluh kali lipat.
Posisi Indonesia dalam Peta Botnet
Angka-angka di atas terdengar jauh, tetapi datanya menyentuh Indonesia secara langsung. Badan Siber dan Sandi Negara mencatat 4,41 miliar trafik anomali yang menyasar Indonesia sepanjang Januari sampai September 2025. Sebanyak 93,8 persen di antaranya dikategorikan sebagai aktivitas malware.
Dari seluruh malware yang terdeteksi pada periode tersebut, Mirai Botnet menempati urutan pertama, disusul Remcos RAT dan Generic Trojan. Artinya program yang pertama kali muncul pada 2016 itu masih menjadi ancaman paling sering terlihat di trafik jaringan Indonesia hampir satu dekade kemudian. Penyebabnya sederhana: pasokan perangkat berkredensial bawaan tidak pernah habis.
Tanda Perangkat Anda Sudah Menjadi Bagian Botnet
Tidak ada notifikasi yang memberi tahu bahwa router Anda sudah direkrut. Namun ada beberapa gejala yang bisa diamati tanpa alat khusus:
- Koneksi melambat pada jam yang tidak wajar: internet terasa berat pada dini hari saat tidak ada yang memakainya.
- Kuota terpakai jauh di atas kebiasaan: pemakaian data naik tanpa perubahan pola pemakaian keluarga.
- Router panas atau restart sendiri: prosesor perangkat bekerja terus di luar beban normalnya.
- Verifikasi CAPTCHA muncul berulang kali: layanan yang Anda kunjungi menandai alamat IP Anda sebagai sumber trafik mencurigakan.
- Layanan tertentu menolak akses dari rumah Anda: alamat IP Anda sudah masuk daftar hitam karena aktivitas orang lain.
- Lampu aktivitas jaringan berkedip saat semua perangkat menganggur: ada trafik yang tidak Anda kirim.
Gejala di atas juga bisa disebabkan hal lain, misalnya gangguan penyedia internet atau perangkat yang memang sudah tua. Perlakukan daftar tersebut sebagai alasan untuk memeriksa, bukan sebagai vonis. Kalau Anda punya akses ke halaman log router, koneksi keluar ke alamat yang tidak Anda kenal adalah petunjuk yang jauh lebih kuat.
Perlu diketahui juga bahwa sebagian botnet modern sengaja dirancang berjalan pelan. Armada yang dipakai sebagai residential proxy justru menghindari pemakaian bandwidth besar agar pemilik perangkat tidak curiga.
Langkah Membersihkan dan Mengunci Perangkat
Dalam cara mengatasi botnet, urutan langkah lebih menentukan daripada daftarnya. Alasannya terletak pada satu sifat teknis Mirai dan sebagian besar turunannya: malware tersebut hanya hidup di memori (memory-resident), tidak ditulis ke penyimpanan permanen. Mematikan lalu menghidupkan perangkat memang menghapusnya.
Masalahnya, pemindaian di internet berjalan tanpa henti. Restart tanpa mengganti kredensial lebih dulu membuat perangkat yang sama terinfeksi ulang dalam hitungan menit.
Diagram alur reinfeksi botnet setelah restart perangkat jika kredensial bawaan belum diganti.
Ikuti urutan berikut supaya lingkaran itu terputus.
Langkah #1: Putuskan perangkat dari internet
Cabut kabel jaringan atau matikan koneksi ke modem. Tujuannya memutus jalur ke server C&C sekaligus mencegah reinfeksi selama Anda bekerja. Perangkat tetap bisa diakses dari jaringan lokal.
Langkah #2: Matikan lalu hidupkan kembali
Karena malware berjalan di memori, mematikan daya menghapusnya. Tunggu sekitar 30 detik sebelum menyalakan kembali agar memori benar-benar kosong.
Langkah #3: Ganti seluruh kredensial bawaan
Ini langkah yang paling menentukan dan paling sering dilewati. Ganti nama pengguna administrator kalau perangkat mengizinkan, lalu buat kata sandi minimal 16 karakter yang berbeda untuk setiap perangkat. Jangan lupa kata sandi Wi-Fi dan kode akses aplikasi pendamping kamera.
Langkah #4: Perbarui firmware
Periksa versi firmware di halaman administrasi perangkat, bandingkan dengan versi terbaru di situs resmi produsen, lalu pasang kalau tersedia. Jadwalkan pemeriksaan semacam ini setiap tiga bulan sekali.
Langkah #5: Tutup pintu masuk dari internet
Matikan UPnP (universal plug and play), fitur yang mengizinkan aplikasi membuka jalur masuk sendiri tanpa persetujuan Anda. Hapus aturan penerusan port yang sudah tidak dipakai, dan nonaktifkan akses administrasi jarak jauh. Layanan lama seperti Telnet sebaiknya dimatikan sepenuhnya karena mengirim kata sandi tanpa perlindungan.
Langkah #6: Sambungkan kembali dan amati
Hubungkan perangkat ke internet, lalu perhatikan pemakaian data selama beberapa hari. Kalau tersedia, aktifkan firewall bawaan router dan batasi akses ke halaman administrasi hanya dari jaringan lokal.
Kalau Website Anda yang Menjadi Sasaran
Bagi Anda yang mengelola website, persoalannya berbalik. Trafik botnet datang dari ribuan alamat IP rumahan di banyak negara, sehingga memblokir alamat satu per satu tidak menyelesaikan apa pun. Lima langkah berikut memberi hasil paling nyata:
- Batasi laju permintaan (rate limiting): tetapkan batas jumlah permintaan per alamat IP dalam rentang waktu tertentu, misalnya 60 permintaan per menit untuk halaman login.
- Pasang CAPTCHA pada formulir sensitif: halaman login, pendaftaran, dan pemulihan kata sandi adalah sasaran utama credential stuffing.
- Saring trafik sebelum sampai ke server: layanan CDN dengan fitur penyaringan aplikasi web mampu menyerap lonjakan permintaan yang tidak wajar di lapisan jaringannya sendiri.
- Pantau log secara rutin: pola ratusan percobaan login gagal dari alamat yang berbeda-beda dalam waktu singkat adalah ciri khas serangan berbasis botnet.
- Aktifkan autentikasi bertingkat: dengan MFA, kata sandi yang berhasil ditebak tetap tidak cukup untuk masuk.
Kalau website Anda berjalan di layanan web hosting bersama, sebagian penyaringan ini sudah ditangani penyedia di tingkat jaringan. Meski begitu, pengamanan di sisi aplikasi tetap menjadi tanggung jawab Anda.
Batas dari Setiap Langkah Pencegahan
Tidak ada satu tindakan yang menyelesaikan seluruh persoalan. Antivirus, misalnya, tidak bisa dipasang di router, kamera CCTV, maupun DVR. Perangkat-perangkat itu memakai sistem operasi tertanam yang tertutup, sehingga perlindungannya sepenuhnya bergantung pada firmware dari produsen. Kalau produsen sudah berhenti memberi dukungan, mengganti unitnya lebih masuk akal daripada mencari cara mengamankannya.
Restart pun bersifat sementara dan hanya efektif bila digabung dengan penggantian kredensial. Pemblokiran alamat IP juga hampir tidak berguna melawan armada yang tersebar di jutaan alamat rumahan. Menutup seluruh akses jarak jauh memang mengurangi kenyamanan, karena Anda kehilangan kemampuan melihat kamera rumah dari luar. Pilihan yang lebih aman adalah mengaksesnya lewat jalur terenkripsi milik sendiri, bukan dengan membuka port langsung ke internet.
Pertanyaan yang Sering Muncul
Apa beda bot dan botnet?
Bot adalah satu perangkat terinfeksi yang menjalankan perintah secara otomatis. Botnet adalah keseluruhan jaringan yang terbentuk dari banyak bot di bawah satu kendali. Satu bot hampir tidak berbahaya; ribuan bot yang bergerak serentak adalah persoalan lain.
Apakah botnet sama dengan virus?
Tidak sama. Virus adalah jenis malware yang menggandakan diri dengan menempel pada berkas lain. Botnet adalah bentuk pengorganisasian perangkat terinfeksi. Malware yang membangun botnet umumnya berupa cacing (worm) atau trojan, bukan virus dalam arti klasik.
Apakah HP Android bisa menjadi bagian botnet?
Bisa. Botnet yang aktif pada 2025–2026 tercatat menjangkiti jutaan perangkat berbasis Android, terutama TV box dan pemutar streaming murah yang dijual tanpa jaminan pembaruan sistem. Ponsel yang hanya memasang aplikasi dari toko resmi berisiko jauh lebih rendah.
Apakah antivirus saja sudah cukup?
Untuk komputer dan ponsel, antivirus membantu. Untuk router, kamera, dan DVR, antivirus tidak bisa dipasang sama sekali. Pada perangkat kategori kedua, penggantian kredensial bawaan dan pembaruan firmware adalah pertahanan utamanya.
Apakah membuat atau menyewa botnet ilegal?
Ya. Mengakses perangkat orang lain tanpa izin dan menyerang sistem elektronik merupakan tindak pidana. Di Indonesia, perbuatan semacam ini diatur dalam Undang-Undang Informasi dan Transaksi Elektronik, dengan ancaman pidana penjara maupun denda.
Kesimpulan
Botnet adalah jaringan perangkat terinfeksi yang dikendalikan dari jarak jauh, dan kekuatannya berasal dari jumlah, bukan dari kecanggihan tiap anggotanya. Hari ini armada terbesar dibangun bukan dari komputer kantor, melainkan dari router, kamera, dan perangkat streaming rumahan yang memakai kata sandi bawaan pabrik.
Bahayanya juga tidak berhenti di serangan DDoS. Koneksi rumah yang direkrut bisa disewakan sebagai jalur trafik orang lain selama berbulan-bulan tanpa gejala yang mencolok. Dua langkah termurah untuk memutus rantai ini tetap sama sejak 2016: ganti seluruh kredensial bawaan, lalu perbarui firmware secara berkala. Untuk perangkat yang sudah tidak didukung produsen, menggantinya adalah pilihan yang paling jujur.
Semoga artikel ini membantu.
