L'FBI sequestra i domini proxy di NetNut nella stretta contro la botnet Popa

L'FBI ha dichiarato di aver sequestrato centinaia di domini collegati a NetNut, un servizio proxy residenziale associato da diversi ricercatori di sicurezza alla botnet Popa. L'operazione ha coinvolto anche la divisione Criminal Investigation dell'IRS e diversi partner del settore privato.

Il sequestro arriva circa due settimane dopo che alcuni ricercatori avevano riferito che il software di NetNut veniva utilizzato per arruolare almeno 2 milioni di dispositivi in una botnet composta da apparecchi elettronici di consumo e altri dispositivi domestici. Una volta compromessi, questi sistemi sarebbero stati trasformati in nodi proxy residenziali, che potevano essere noleggiati per nascondere l'origine del traffico online.

Come veniva utilizzata la rete

Secondo il Threat Intelligence Group di Google, i nodi di uscita NetNut sospetti venivano utilizzati da un'ampia gamma di attori delle minacce, tra cui criminali informatici e gruppi legati allo spionaggio. Google ha dichiarato che questi server proxy contribuivano a nascondere l'origine delle campagne di password spraying, dell'accesso agli ambienti delle vittime e del traffico diretto verso infrastrutture controllate dagli attaccanti.

L'azienda ha inoltre dichiarato di aver disabilitato account e servizi Google collegati ad attività di comando e controllo del malware, di aver condiviso informazioni tecniche con le forze dell'ordine e di aver rimosso applicazioni che includevano componenti software correlati a NetNut.

La risposta dell'azienda e l'impatto più ampio

Alarum Technologies, società madre di NetNut, ha dichiarato di essere a conoscenza del sequestro e di voler collaborare con gli investigatori. I consulenti legali dell'azienda hanno affermato che Alarum intendeva contribuire a identificare eventuali abusi della propria infrastruttura e a determinare chi potesse esserne responsabile.

I ricercatori di sicurezza hanno affermato che l'interruzione potrebbe essere significativa, poiché NetNut era ampiamente utilizzata dai rivenditori ed era diventata uno dei principali fornitori nel mercato dei proxy residenziali. Alcuni esperti hanno osservato che l'azione potrebbe anche ridurre la portata delle operazioni di distributed denial-of-service che fanno affidamento su dispositivi compromessi collegati tramite connessioni residenziali.

• Google ha dichiarato che l'azione ha rimosso milioni di dispositivi dal pool di proxy disponibili.
• I ricercatori hanno avvertito che le reti proxy possono essere ricostruite acquistando capacità da altri fornitori.
• Ai consumatori è stato consigliato di evitare TV box non affidabili e app store non ufficiali.

Le aziende di sicurezza hanno inoltre avvertito che alcuni smart TV e dispositivi di streaming possono essere arruolati nelle reti proxy tramite app di terze parti o software incluso. Gli analisti raccomandano di utilizzare hardware affidabile, limitare il software a fonti attendibili e verificare che un dispositivo disponga della certificazione ufficiale prima dell'installazione.