Het NetNut-proxynetwerk is na een internationale actie ontwricht; meer dan twee miljoen geïnfecteerde apparaten zijn getroffen.

Een internationale actie onder leiding van Google, in samenwerking met de FBI en diverse toonaangevende cybersecuritybedrijven, heeft NetNut, een van 's werelds grootste proxy-netwerken voor particulieren, ernstig ontwricht. Google's De Threat Intelligence Group (GTIG) schatte dat het netwerk minstens twee miljoen gecompromitteerde Android-apparaten omvatte, waaronder smart-tv's en streamingboxen.

NetNut, ook bekend als Popa, is zowel door cybercriminelen als door de staat gesponsorde spionagegroepen gebruikt om hun identiteit te verbergen door kwaadaardig verkeer om te leiden via de IP-adressen van gewone internetgebruikers. Hierdoor kunnen aanvallers zich voordoen als legitieme gebruikers bij het uitvoeren van aanvallen op organisaties en individuen.

Miljoenen gehackte apparaten werden gebruikt als proxyservers.

Volgens GTIG had NetNut naar schatting controle over minstens twee miljoen geïnfecteerde apparaten wereldwijd.

“"GTIG schat dat NetNut wereldwijd minstens twee miljoen geïnfecteerde apparaten beheert, waaronder smart-tv's en streamingboxen, die worden aangedreven door met trojans besmette applicaties en botnets zoals Badbox 2.0 met ingebouwde proxyfunctionaliteit."”

Het is echter belangrijk om onderscheid te maken tussen de infectie zelf en het proxynetwerk. Apparaten worden geïnfecteerd met malware, zoals het Badbox 2.0-botnet of andere met trojans besmette applicaties. NetNut gebruikt de geïnfecteerde apparaten vervolgens als een wereldwijde proxy-infrastructuur waarmee aanvallers hun verkeer via de internetverbindingen van de slachtoffers kunnen routeren.

Hoe residentiële proxynetwerken werken

Residentiële proxy-netwerken maken gebruik van gehackte consumentenapparaten die als zogenaamde exit-nodes fungeren. Door verkeer via deze apparaten te routeren, kunnen cybercriminelen hun werkelijke geografische locatie en identiteit verbergen achter legitieme IP-adressen.

Apparaten raken doorgaans geïnfecteerd via malware die ofwel vooraf is geïnstalleerd bij levering, ofwel wordt geïnstalleerd via apps met een trojan-virus en andere schadelijke software die de gebruiker downloadt.

Zodra een apparaat is gehackt, wordt het gebruikt om ongeautoriseerd netwerkverkeer door te sturen, wat ertoe kan leiden dat het IP-adres van het slachtoffer als verdacht wordt aangemerkt of geblokkeerd door internetproviders, clouddiensten en andere digitale platforms.

Internationale samenwerking heeft de infrastructuur getroffen.

De ontmanteling van delen van NetNut werd mogelijk gemaakt door een intensieve samenwerking tussen Google, de FBI, Lumen Technologies, The Shadowserver Foundation en diverse andere internationale cybersecuritypartners.

Als onderdeel van de operatie heeft de FBI verschillende domeinen in beslag genomen die door het proxynetwerk werden gebruikt, waaronder netnut.com.

Mark Karayan, hoofd communicatie bij Mandiant, bevestigde aan BleepingComputer dat het .com-domein ook werd gebruikt door de beheerders van NetNut, samen met verschillende andere domeinen die inmiddels offline zijn gehaald.

Honderden cybercriminelen maakten gebruik van NetNut.

Volgens GTIG werd het slechts één week vorige maand waargenomen. 316 verschillende dreigingsclusters die vermoedelijk gebruik maakten van NetNut-exitnodes. Hieronder vielen zowel cybercriminele groepen als door de staat gesponsorde spionageorganisaties.

De onderzoekers stellen dat de cybercriminelen NetNut gebruikten om:

• anoniem toegang krijgen tot hun eigen infrastructuur
• wachtwoordinjectieaanvallen uitvoeren
• bereik gecompromitteerde omgevingen zonder het werkelijke oorspronkelijke adres te onthullen.
• Verberg kwaadaardige activiteiten achter legitieme IP-adressen.

Google heeft cruciale backend-infrastructuur platgelegd.

Parallel aan de internationale inspanningen heeft Google de accounts en clouddiensten afgesloten die NetNut-beheerders gebruikten voor hun command-and-control (C2)-infrastructuur, waardoor ze de toegang tot een belangrijk onderdeel van de backend van het botnet verloren.

Google maakte ook gebruik van de ingebouwde beveiligingsfunctie. Google Play Protect identificeert, waarschuwt gebruikers en schakelt geïnfecteerde apps op Android-apparaten automatisch uit.

Het bedrijf deelde ook technische indicatoren, informatie over de SDK's van NetNut en details over zijn C2-infrastructuur met platformleveranciers, wetshandhavingsinstanties en cybersecurityonderzoekers om continue detectie en bescherming te vergemakkelijken.

Dit zou grote gevolgen kunnen hebben voor de proxy-industrie.

Google is van mening dat deze inspanning verstrekkende gevolgen kan hebben voor de wereldwijde markt voor diensten die namens huurders worden aangeboden.

Een belangrijke reden hiervoor is dat NetNut een uitgebreid resellerprogramma had, waardoor andere aanbieders de dienst onder hun eigen merknaam konden verkopen. Dit betekent dat verschillende populaire proxydiensten in feite gebouwd waren op de infrastructuur van NetNut.

Volgens Mark Karayan is de proxy-industrie sterk met elkaar verbonden, waarbij operators continu capaciteit van elkaars botnets kopen en doorverkopen.

“"De proxy-industrie is sterk met elkaar verbonden, waarbij operators constant elkaars botnetcapaciteit kopen en doorverkopen, en NetNut is een van de grootste en meest gebruikte proxy-netwerken voor particulieren ter wereld."”

Belangrijk signaal voor de cyberbeveiliging van bedrijven

Voor bedrijven laat het incident zien hoe geavanceerd de infrastructuur achter de huidige cyberaanvallen is geworden. Door gebruik te maken van gecompromitteerde consumentenapparaten kunnen aanvallers inbraken, wachtwoordinjectieaanvallen en fraude plegen vanaf ogenschijnlijk legitieme Zweedse en internationale IP-adressen, waardoor traditionele IP-gebaseerde filtering aanzienlijk minder effectief is.

Deze ontwikkeling onderstreept de noodzaak van moderne beveiligingsoplossingen die identiteitscontroles, gedragsanalyses, realtime dreigingsinformatie en continue monitoring combineren om geavanceerde aanvallen te detecteren en te stoppen.

Onderdeel van Google's langetermijnstrategie

De actie tegen NetNut maakt deel uit van Googles langetermijnstrategie om proxy-botnets te ontwrichten en te ontmantelen die misbruik maken van gecompromitteerde consumentenapparaten. De operatie volgt op eerdere acties tegen het IPIDEA-proxynetwerk en markeert een nieuwe stap in de poging om de infrastructuur te ontwrichten die wordt gebruikt voor cyberaanvallen, fraude en digitale spionage.

Volgens Google zal de ontwrichting van NetNut naar verwachting een bredere impact hebben dan alleen op het betreffende netwerk, aangezien verschillende andere proxydiensten voortbouwen op de infrastructuur ervan of deze doorverkopen. Voor zowel bedrijven als particulieren is deze actie tevens een herinnering aan het belang van het alleen installeren van apps van vertrouwde bronnen, het up-to-date houden van Android-apparaten en het gebruik van beveiligingsfuncties zoals Google Play Protect om het risico te verkleinen om onderdeel te worden van toekomstige botnets.