En conclusión, no.
Atención: Sólo con fines educativos. No intentes un ataque DDoS. Es algo maligno. Puede ser ilegal en su jurisdicción. Puede ser ilegal en la jurisdicción de tu objetivo y podrías ser extraditado. Tienes mejores cosas que hacer con tu tiempo que cumplir condena.
Hay dos formas de interpretar esta pregunta:
- ¿Puede un teléfono Android ser el objetivo de un ataque DDoS?
- ¿Puede un teléfono Android participar en un ataque DDoS?
Un teléfono móvil tiene dos familias de funciones:
- Funciones de voz, SMS y MMS (el legado de los teléfonos «tontos»
- Funciones IP o WiFi (las funciones de datos o de los teléfonos «inteligentes»
Las funciones de voz están siempre disponibles (siempre que tengas señal). La torre necesita conectarse a usted para completar la llamada. No veo cómo puedes consumir las funciones de voz de un teléfono específico. Puedes inundar la torre, pero un teléfono específico sería difícil.
Las características de datos o IP están disponibles de forma inconsistente. Si observas la señal WiFi, verás que se inicia independientemente de lo que estés haciendo. Tiene que sondear para ver si algo está tratando de «empujar» los mensajes a ella. Una vez completado, la radio se queda en silencio hasta que es el momento de sondear de nuevo. Mientras la radio está encendida, se consume energía de la batería. Mientras se utilizan las funciones de datos, la radio permanece encendida. Los teléfonos móviles serían malos candidatos para los servidores, que deben estar disponibles de forma constante.
La forma en que se envían los datos por 3G no es la forma en que se envían los datos por 4G y tampoco lo es la forma en que se envían los datos por WiFi. Sin embargo, creo que son lo suficientemente similares para los propósitos de esta discusión que sus diferencias no afectan a la conclusión.
Otro tema insuficientemente considerado es el WAP Gateway del operador. No creo que eso juegue un papel importante. Sin embargo, puede que no lo haya considerado a fondo.
Si quieres atacar un teléfono móvil a través de sus características IP, tienes que ser capaz de llegar a él. Tiene que tener la radio encendida. Puede estar detrás de un router que inhiba tus peticiones no solicitadas. En ese caso, tendrás más suerte atacando el router.
Si quieres que los teléfonos móviles participen en un ataque DDoS, puedes modelar tu ataque según los enfoques DDoS actuales. Necesitas un cliente en el teléfono y una forma de instalar el cliente. El cliente podría utilizar la arquitectura habitual de mando y control: el dispositivo (teléfono) comprueba con su controlador si hay una orden esperándole. Si no, sigue adelante. En caso afirmativo, ataca a su objetivo hasta que la batería se agote (o el controlador finalice el ataque). Alternativamente, si se desea evitar una arquitectura de C&C, se podría instruir al cliente para que ataque a una hora predeterminada. Como atacante, el teléfono móvil es como cualquier otro dispositivo IP. La duración de la batería limita su utilidad. Los límites de ancho de banda significan que necesitarás un gran número de ellos para suponer una gran amenaza.
Con dispositivos de infraestructura más tradicionales (normalmente servidores) el participante comprometido («pwned», como les gusta decir a los niños) probablemente no sepa que ha sido convertido en un arma. Todo les parece bien. No hay ningún incentivo para que el bot sea eliminado.
Un teléfono móvil, por otro lado, se verá notablemente afectado. El plan de datos se agotó y hay cargos por exceso de uso. La duración de la batería cae en picado de forma inexplicable. El cliente no estaba haciendo nada diferente, así que el operador o el teléfono deben haber metido la pata. Arréglelo. Hay un incentivo para que el bot sea eliminado. Una parte importante de tus participantes desaparecerá. Tendrás un buen disparo con tu cañón.
Resumen: No atacarías un teléfono móvil usando DDoS, encontrarías una forma diferente de negar el servicio. No alistarías teléfonos móviles en tu ejército de DDoS; necesitarías demasiados y el ejército no duraría. Aunque es técnicamente posible, las posibilidades de éxito serían escasas. Así que no, los teléfonos Android no serían propensos a los ataques DDoS.