Botnets avanzado:
Una bot se define como malware que se ejecuta en un sistema comprometido, diseñado para participar en una red gestionada de forma centralizada de equipos comprometidos. Esta red se conoce como bots. Se sabe que las redes de bots únicas constan de más de un millón de equipos comprometidos y son probablemente las amenazas más importantes para la Internet global. La administración centralizada se debe a través de un comando y un servidor de control (C&C).

Los rebañores de robots se mueven desde grandes bots de miles de Zombis a otros más pequeños y más específicos. Además, el protocolo IRC para Command and control (C&C) se ha desactualizado en favor de los protocolos más revelados. Estos protocolos incluyen tráfico cifrado HTTP o no SSL a través del puerto 443.

La host en la que se ejecuta bot, se conoce como la destino del ataque.
El servidor de C&C es el origen de ataque.

HTTP
El host envía una solicitud HTTP al servidor de C&C. El paquete del host al servidor de C&C (servidor HTTP) muestra la host como la IP de origen (src) y el servidor de C&C (servidor HTTP) como destino. (dest) Direcciones. Cuando se genera una alerta para esta comunicación de C&C, el atacante orig es la IP del servidor de C&C y el host atacante es el destino del ataque.

DNS
El host envía una solicitud DNS para el dominio del servidor de C&C y la servidor DNS responde con una IP. El origen de ataque aquí es la IP del servidor de C&C y el objetivo del ataque es el host que envía la solicitud DNS.

Como en el caso de HTTP, cuando se genera una alerta para este ataque, el atacante orig es la IP del servidor de C&C y el host atacante es el destino del ataque.

NOTA: IP de origen y dest IP en amenaza explorer no son src y dest IP en el paquete, pero la origen de ataque y objetivo de ataque.