En una operación conjunta, Google, el FBI y otros socios han asestado un duro golpe al ecosistema de proxies residenciales al desarticular la red de bots NetNut (también conocida como Popa).
NetNut es un servicio malicioso creado a partir de millones de dispositivos de consumo secuestrados. NetNut se promocionaba como un proveedor de proxies residenciales de alta calidad y vendía acceso a direcciones IP domésticas «reales» para la recopilación de datos web y otros usos que parecían inofensivos.
Definición del FBI de «proxy residencial»:
«Un proxy residencial es un servidor intermediario entre los usuarios y los sitios web que visitan, cuyo objetivo es hacer que parezca que sus conexiones proceden de otro lugar. Para enrutar el tráfico se utilizan direcciones IP legítimas asignadas por un proveedor de servicios de Internet (ISP) a los dispositivos del Internet de las cosas (IoT) de los consumidores, como dispositivos de streaming de televisión, marcos de fotos digitales, smartphones, tabletas y routers. Una vez que un dispositivo conectado a Internet se ve comprometido, los autores de las amenazas pueden utilizar la dirección IP de dicho dispositivo para ocultar su actividad ilegal en línea, haciendo que parezca que el responsable es el consumidor».
El método más habitual utilizado para añadir dispositivos a la red NetNut consistía en engañar a los usuarios para que instalaran aplicaciones de «compartición de ancho de banda» o de proxyware que prometían pagos a cambio de «compartir la conexión a Internet que no se utilizara», pero que ocultaban los verdaderos riesgos en la letra pequeña o prescindían por completo de un consentimiento significativo. Con menos frecuencia, los dispositivos se venden ya comprometidos a través de cadenas de suministro del mercado gris y se envían con firmware malicioso o aplicaciones instaladas de forma no oficial.
Una vez registrados, estos dispositivos podrían utilizarse para llevar a cabo ataques de «password spraying», intentos de apropiación de cuentas, fraude publicitario e incluso ataques DDoS de variantes de Mirai.
La operación se centró en tres frentes: desactivar las cuentas de Google utilizadas para el sistema de mando y control (C2) de NetNut, compartir indicadores detallados sobre los SDK y la infraestructura de NetNut con las plataformas y las fuerzas del orden, y utilizar Google Play Protect para advertir a los usuarios y desactivar automáticamente las aplicaciones que incluyeran código de NetNut.
Según se ha informado, esto ha afectado considerablemente a la red de bots NetNut, reduciendo en millones el número de dispositivos disponibles para el operador del proxy.
Cómo mantenerse seguro
Es poco probable que un usuario doméstico típico se dé cuenta de que sus dispositivos forman parte de la red de bots NetNut, aunque puede notar un rendimiento más lento, una reducción de la velocidad de Internet, un mayor consumo de batería y un mayor desgaste de los dispositivos afectados.
Tras este revés, es probable que los operadores de la red de bots intenten reconstruir su red infectando nuevos dispositivos, o que otra red de bots ocupe su lugar. Por eso es importante mantenerse alerta. Algunos consejos básicos:
- Ten mucho cuidado con las aplicaciones que te pagan por el ancho de banda no utilizado.
- Utiliza únicamente las tiendas de aplicaciones oficiales.
- Comprueba los permisos de VPN proxy en tus dispositivos.
- Opta por proveedores de confianza y certificados por Play Protect para los dispositivos conectados.
- Utiliza una solución antimalware actualizada y en tiempo real en los dispositivos que cumplan los requisitos.
Los estafadores saben más de ti de lo que crees.
Malwarebytes Mobile Security teMobile Security contra el phishing, los mensajes de texto fraudulentos, los sitios web maliciosos y mucho más. Con Scam Guard, una función integrada basada en inteligencia artificial que opera en tiempo real.
