In een gezamenlijke operatie hebben Google, de FBI en andere partners het ecosysteem van residentiële proxy’s een flinke klap toegebracht door het NetNut-botnet (ook bekend als Popa) uit te schakelen.
NetNut is een kwaadaardige dienst die is opgebouwd uit miljoenen gekaapte consumentenapparaten. NetNut profileerde zich als een hoogwaardige aanbieder van residentiële proxy’s en verkocht toegang tot „echte“ thuis-IP-adressen voor het verzamelen van webgegevens en andere onschuldig klinkende toepassingen.
De definitie van de FBI van een ‘residential proxy’:
“Een residentiële proxy is een tussenliggende server tussen gebruikers en de websites die zij bezoeken, waardoor het lijkt alsof hun verbindingen ergens anders vandaan komen. Legitieme IP-adressen die door een internetprovider (ISP) zijn toegewezen aan Internet of Things (IoT)-apparaten van consumenten, zoals apparaten voor het streamen van tv, digitale fotolijsten, smartphones, tablets en routers, worden gebruikt om het verkeer te routeren. Zodra een apparaat met internetverbinding is gehackt, kan het IP-adres van het apparaat door cybercriminelen worden gebruikt om hun illegale online activiteiten te verhullen, waardoor het lijkt alsof de consument hiervoor verantwoordelijk is.”
De meest gebruikelijke methode om apparaten aan het NetNut-netwerk toe te voegen, was om gebruikers ertoe te verleiden apps voor „bandbreedte delen“ of proxyware te installeren, die uitbetalingen beloofden voor het „delen van je ongebruikte internet“, maar de werkelijke risico’s in de kleine lettertjes verborgen hielden of zinvolle toestemming helemaal achterwege lieten. Minder vaak worden apparaten via toeleveringsketens op de grijze markt verkocht die al zijn gehackt, en worden ze geleverd met kwaadaardige firmware of apps die via side-loading zijn geïnstalleerd.
Zodra deze apparaten zijn geregistreerd, kunnen ze worden gebruikt voor password-spraying-aanvallen, pogingen tot account-overname, advertentiefraude en zelfs DDoS-aanvallen met Mirai-varianten.
De verstoringsactie was gericht op drie maatregelen: het uitschakelen van Google-accounts die werden gebruikt voor de command-and-control (C2) van NetNut, het delen van gedetailleerde indicatoren over de SDK’s en infrastructuur van NetNut met platforms en wetshandhavingsinstanties, en het gebruik van Google Play Protect om gebruikers te waarschuwen en apps die NetNut-code bevatten automatisch uit te schakelen.
Naar verluidt heeft dit het NetNut-botnet aanzienlijk ontwricht, waardoor het aantal beschikbare apparaten voor de proxy-beheerder met miljoenen is afgenomen.
Hoe blijf ik veilig
Een gemiddelde thuisgebruiker zal waarschijnlijk niet merken dat zijn apparaten deel uitmaken van het NetNut-botnet, hoewel hij wel te maken kan krijgen met trager werkende apparaten, lagere internetsnelheden, snellere batterijontlading en extra slijtage aan de getroffen apparaten.
Na deze klap zullen de beheerders van het botnet waarschijnlijk proberen hun netwerk weer op te bouwen door nieuwe apparaten te infecteren, of kan een ander botnet hun plaats innemen. Het is dus belangrijk om waakzaam te blijven. Enkele basistips:
- Wees uiterst op je hoede voor apps die je betalen voor ongebruikte bandbreedte.
- Blijf bij de officiële app-winkels.
- Controleer de VPN proxy-machtigingen op je apparaten.
- Kies bij het aanschaffen van slimme apparaten voor gerenommeerde leveranciers die het Play Protect-certificaat hebben.
- Gebruik een up-to-date, realtime anti-malwareoplossing op apparaten die hiervoor in aanmerking komen.
Oplichters weten meer over je dan je denkt.
Malwarebytes Mobile Security je tegen phishing, oplichtings-sms’jes, schadelijke websites en nog veel meer. Met de ingebouwde, door AI aangestuurde Scam Guard die in realtime werkt.
