Google и ФБР ослабили сеть домашних прокси NetNut на миллионы устройств

Google совместно с ФБР, Lumen и другими партнерами провела операцию против NetNut, также известной как Popa. Это одна из крупнейших сетей домашних прокси: по оценке Google Threat Intelligence Group, она включала не менее 2 млн зараженных устройств по всему миру, включая Smart TV и стриминговые приставки.

NetNut использовалась для маскировки вредоносного трафика. Такие сети пропускают запросы через домашние IP-адреса обычных пользователей, из-за чего злоумышленники могут скрывать реальное местоположение, обходить защитные механизмы и проводить атаки так, будто они исходят из легитимных домашних сетей.

В рамках операции Google отключила аккаунты и сервисы, которые использовались для командных серверов NetNut, передала технические данные правоохранителям и отраслевым партнерам, а также обновила Google Play Protect. Теперь Android-защита предупреждает пользователей и блокирует приложения, в которые встроены связанные с NetNut SDK.

По данным Google, эти действия сократили доступный пул устройств для операторов NetNut на миллионы. При этом компания называет результат не полным уничтожением, а серьезным ослаблением сети: операторы подобных прокси-сервисов могут переключаться на конкурентов или становиться реселлерами других криминальных сетей.

Опасность NetNut подтверждается масштабом использования. В одну неделю июня GTIG зафиксировала 316 кластеров угроз, которые использовали предполагаемые выходные узлы NetNut. Среди них были как киберпреступные, так и шпионские группы. Через такие прокси они скрывали IP-адреса, проводили password spraying и получали доступ к инфраструктуре жертв.

Пользователям рекомендуют избегать приложений, которые предлагают «делиться» интернет-каналом за вознаграждение, а также с осторожностью покупать дешевые Smart TV и Android-приставки неизвестных брендов. Именно такие устройства часто попадают в ботнеты через предустановленный вредоносный код или скрытые SDK в приложениях.