В ходе совместной операции компании Google, ФБР и другие партнеры нанесли серьёзный удар по экосистеме прокси-серверов, работающих из жилых помещений, ликвидировав ботнет NetNut (также известный под названием Popa).
NetNut — это вредоносный сервис, построенный на базе миллионов взломанных потребительских устройств. NetNut позиционировал себя как поставщика высококачественных домашних прокси-серверов, продавая доступ к «настоящим» домашним IP-адресам для сбора данных в Интернете и других, на первый взгляд безобидных, целей.
Определение ФБР термина «прокси-сервер для домашнего использования»:
«Прокси для домашнего использования — это промежуточный сервер между пользователями и посещаемыми ими веб-сайтами, который создает видимость того, что соединение устанавливается из другого места. Для маршрутизации трафика используются легитимные IP-адреса, присваиваемые интернет-провайдером (ISP) устройствам Интернета вещей (IoT) потребителей, таким как устройства для потокового просмотра телепрограмм, цифровые фоторамки, смартфоны, планшеты и маршрутизаторы. Как только подключенное к Интернету устройство подвергается взлому, его IP-адрес может быть использован злоумышленниками для маскировки своей незаконной онлайн-деятельности, в результате чего ответственность за неё ложится на потребителя».
Наиболее распространённым способом добавления устройств в сеть NetNut было обманное побуждение пользователей к установке приложений для «совместного использования пропускной способности» или прокси-программ, которые обещали вознаграждение за «предоставление неиспользуемого интернет-трафика», но скрывали истинные риски в мелком шрифте или вовсе обходили процедуру получения обоснованного согласия. Реже устройства продавались в заражённом виде через каналы сбыта «серого рынка» и поставлялись с вредоносной прошивкой или приложениями, установленными из сторонних источников.
После подключения эти устройства могут использоваться для проведения атак методом «парольного спрея», попыток взлома учетных записей, рекламного мошенничества и даже DDoS-атак с использованием вариантов бота «Mirai».
Меры по пресечению этой угрозы были сосредоточены на трёх направлениях: блокировка учётных записей Google, использовавшихся для системы управления и контроля (C2) NetNut; передача платформам и правоохранительным органам подробной информации об SDK и инфраструктуре NetNut; а также использование Google Play Protect для предупреждения пользователей и автоматической блокировки приложений, содержащих код NetNut.
По имеющимся данным, это привело к значительному ослаблению ботнета NetNut, сократив количество устройств, доступных оператору прокси-сервера, на миллионы.
Как оставаться в безопасности
Обычный домашний пользователь вряд ли заметит, что его устройства входят в состав ботнета NetNut, хотя он может столкнуться с снижением производительности, уменьшением скорости интернета, более быстрым разрядом аккумулятора и дополнительным износом затронутых устройств.
После этого удара операторы ботнета, скорее всего, попытаются восстановить свою сеть, заразив новые устройства, либо на смену ей может прийти другой ботнет. Поэтому важно сохранять бдительность. Вот несколько основных советов:
- Будьте крайне осторожны с приложениями, которые платят вам за неиспользованную пропускную способность.
- Пользуйтесь только официальными магазинами приложений.
- Проверьте настройки VPN прокси на ваших устройствах.
- При выборе подключаемых устройств отдавайте предпочтение надежным поставщикам, прошедшим сертификацию Play Protect.
- Используйте актуальное антивирусное решение, работающее в режиме реального времени, на устройствах, для которых это предусмотрено.
Мошенники знают о вас больше, чем вы думаете.
Malwarebytes Mobile Security вас от фишинга, мошеннических SMS-сообщений, вредоносных сайтов и многого другого. Благодаря встроенной функции Scam Guard, работающей на базе искусственного интеллекта в режиме реального времени.
