Google afferma di aver indebolito la rete di proxy residenziali NetNut collegata a milioni di dispositivi domestici

Google afferma di aver interrotto una vasta rete di proxy residenziali associata a NetNut, riducendo il numero di dispositivi disponibili per instradare il traffico attraverso connessioni Internet domestiche. L’azienda ha dichiarato che l’operazione è stata condotta con l’aiuto dell’FBI, di Lumen e di altri partner, nell’ambito di una campagna più ampia volta a limitare l’abuso dei dispositivi dei consumatori.

Il Google Threat Intelligence Group (GTIG) ha dichiarato che la rete, che monitora con il nome Popa e associa a NetNut, comprende smart TV, dispositivi per lo streaming e altri apparecchi elettronici domestici in tutto il mondo. Google stima che il bacino includa almeno 2 milioni di dispositivi. In pratica, ciò significa che il traffico di utenti non correlati può essere instradato attraverso una connessione residenziale, facendo sembrare che provenga da una normale abitazione anziché da un data center o da un servizio proxy noto.

Come opera la rete

I servizi proxy residenziali si basano su software eseguito su hardware dei consumatori. In alcuni casi, il software è incluso in dispositivi economici; in altri, gli utenti installano app che iscrivono silenziosamente il dispositivo ad attività di condivisione della larghezza di banda o di proxy. Una volta attivato, il dispositivo può diventare un nodo di uscita che inoltra il traffico per i clienti paganti.

Google ha dichiarato che questa configurazione può creare rischi per la sicurezza e la privacy della rete domestica stessa, poiché il traffico esterno viene di fatto trasportato attraverso la stessa connessione utilizzata dai dispositivi del proprietario. Il GTIG ha inoltre affermato di aver osservato 316 distinti gruppi di minacce utilizzare presunti nodi di uscita NetNut in una sola settimana di giugno, inclusi gruppi coinvolti in attività di criminalità informatica e spionaggio.

I ricercatori di Qurium, Synthient, Nokia Deepfield e Spur avevano precedentemente collegato Popa a NetNut. Synthient ha dichiarato che un test controllato ha mostrato il traffico inviato al gateway commerciale di NetNut emergere attraverso un dispositivo iscritto a Popa. La società madre di NetNut, Alarum Technologies, ha negato che il servizio sia una botnet e afferma che il suo software è destinato alla condivisione della larghezza di banda basata sul consenso.

Google ha descritto la propria azione come un indebolimento, non come una completa chiusura, osservando che queste reti possono spostare la capacità tra marchi affiliati e rivenditori. L’azienda ha citato il lavoro precedente contro IPIDEA e Badbox 2.0 come esempi di come infrastrutture simili possano riapparire sotto nomi diversi.

• Evitate le app che promettono pagamenti per la “larghezza di banda inutilizzata” o per la condivisione di Internet.
• Installate software solo da app store affidabili e controllate attentamente le autorizzazioni richieste.
• Tenete attive le protezioni integrate, come Google Play Protect.
• Acquistate smart TV e dispositivi per lo streaming da produttori affidabili.

Dopo i sequestri dei domini segnalati, Alarum ha dichiarato che avrebbe collaborato con le forze dell’ordine e indagato su qualsiasi uso improprio della propria infrastruttura.