Google affirme avoir affaibli le réseau de proxys résidentiels NetNut lié à des millions d’appareils domestiques

Google affirme avoir perturbé un vaste réseau de proxys résidentiels associé à NetNut, réduisant le nombre d’appareils disponibles pour acheminer le trafic via des connexions Internet domestiques. L’entreprise a déclaré que cette opération avait été menée avec l’aide du FBI, de Lumen et d’autres partenaires, dans le cadre d’une campagne plus large visant à limiter l’utilisation abusive d’appareils grand public.

Le Google Threat Intelligence Group (GTIG) a déclaré que le réseau, qu’il suit sous le nom de Popa et qu’il associe à NetNut, s’étend à des téléviseurs connectés, des boîtiers de streaming et d’autres appareils électroniques domestiques dans le monde entier. Google estime que ce réseau comprend au moins 2 millions d’appareils. En pratique, cela signifie que le trafic d’utilisateurs sans lien entre eux peut être acheminé via une connexion résidentielle, donnant l’impression de provenir d’un foyer ordinaire plutôt que d’un centre de données ou d’un service de proxy connu.

Fonctionnement du réseau

Les services de proxy résidentiel reposent sur des logiciels exécutés sur du matériel grand public. Dans certains cas, ces logiciels sont intégrés à des appareils peu coûteux ; dans d’autres, les utilisateurs installent des applications qui inscrivent discrètement l’appareil à des activités de partage de bande passante ou de proxy. Une fois activé, l’appareil peut devenir un nœud de sortie qui transfère le trafic de clients payants.

Google a déclaré que cette configuration pouvait créer des risques pour la sécurité et la confidentialité du réseau domestique lui-même, puisque le trafic externe transite de fait par la même connexion que celle utilisée par les appareils du propriétaire. Le GTIG a également indiqué avoir observé 316 groupes de menaces distincts utilisant des nœuds de sortie NetNut présumés au cours d’une seule semaine en juin, notamment des groupes impliqués dans la cybercriminalité et l’espionnage.

Des chercheurs de Qurium, Synthient, Nokia Deepfield et Spur avaient précédemment établi un lien entre Popa et NetNut. Synthient a déclaré qu’un test contrôlé avait montré que du trafic envoyé vers la passerelle commerciale de NetNut ressortait par l’intermédiaire d’un appareil inscrit à Popa. La société mère de NetNut, Alarum Technologies, a nié que le service soit un botnet et affirme que son logiciel est destiné au partage de bande passante fondé sur le consentement.

Google a décrit son action comme un affaiblissement plutôt que comme un démantèlement complet, soulignant que ces réseaux peuvent déplacer leurs capacités entre des marques affiliées et des revendeurs. L’entreprise a cité ses opérations précédentes contre IPIDEA et Badbox 2.0 comme exemples de la manière dont des infrastructures similaires peuvent réapparaître sous d’autres noms.

• Évitez les applications qui promettent une rémunération en échange de votre « bande passante inutilisée » ou du partage de votre connexion Internet.
• Installez des logiciels uniquement depuis des boutiques d’applications fiables et examinez attentivement les autorisations demandées.
• Maintenez activées les protections intégrées, telles que Google Play Protect.
• Achetez vos téléviseurs connectés et vos appareils de streaming auprès de fabricants réputés.

À la suite des saisies de domaines signalées, Alarum a déclaré qu’elle coopérerait avec les autorités et enquêterait sur toute utilisation abusive de son infrastructure.