Jaringan proxy NetNut terganggu, 2 juta perangkat yang terinfeksi terputus

Operasi gabungan yang melibatkan Google telah mengganggu NetNut, jaringan proxy perumahan yang memberikan akses ke jutaan perangkat Android yang disusupi, termasuk smart TV dan kotak streaming.

Juga dikenal sebagai Popa, botnet NetNut memungkinkan penjahat dunia maya dan kelompok spionase bersembunyi di balik alamat internet rumah yang sah ketika melancarkan serangan.

Menurut Google Threat Intelligence Group (GTIG), botnet proxy perumahan diperkirakan terdiri dari setidaknya dua juta perangkat yang disusupi.

“GTIG memperkirakan Netnut mengendalikan setidaknya 2 juta perangkat yang terinfeksi secara global (termasuk smart TV dan streaming box), yang didukung oleh aplikasi trojan dan botnet seperti Badbox 2.0 yang mengemas plugin proxy,” kata Google kepada BleepingComputer.

Jaringan proxy perumahan bekerja dengan menyusupi sistem rumah dan menjual akses ke sistem tersebut, sehingga memungkinkan pelaku ancaman menyembunyikan lalu lintas berbahaya dengan merutekannya melalui alamat IP perumahan korban.

Biasanya, perangkat rumah menjadi bagian dari botnet setelah terinfeksi malware yang sudah diinstal sebelumnya sebelum pembelian atau ditambahkan melalui aplikasi berbahaya atau trojan yang diunduh oleh pengguna.

Akibatnya, perangkat konsumen yang terinfeksi berfungsi sebagai titik keluar di botnet, merutekan lalu lintas jaringan yang tidak sah melalui alamat IP tempat tinggalnya, yang dapat menyebabkan perangkat tersebut ditandai sebagai mencurigakan atau diblokir oleh penyedia layanan internet atau layanan online.

Pembongkaran botnet NetNut memerlukan upaya terkoordinasi yang melibatkan Google, FBI, Lumen Technologies, The Shadowserver Foundation, dan mitra industri lainnya.

Layanan proxy berbahaya ini dianggap sebagai salah satu jaringan terbesar di dunia, yang digunakan oleh ratusan pelaku ancaman.

Ini menggunakan banyak domain, termasuk netnut.comyang diturunkan oleh FBI.

“Saya menghubungi tim pengganggu dan mengonfirmasi bahwa domain .com juga digunakan oleh mereka bersama dengan domain lainnya yang dihapus,” Mark Karayan, Manajer Komunikasi di Mandiant, mengatakan kepada BleepingComputer.

kata GTIG bahwa dalam satu minggu pada bulan lalu mereka “mengamati 316 kelompok ancaman berbeda yang menggunakan dugaan titik keluar NetNut, termasuk penjahat dunia maya dan kelompok spionase.”

Menurut para peneliti, pelaku ancaman menggunakan NetNut untuk mengakses infrastruktur mereka sendiri, melakukan serangan penyemprotan kata sandi, dan untuk menjangkau lingkungan korban.

Google menonaktifkan akun dan layanan pada infrastrukturnya yang digunakan oleh operator NetNut untuk perintah dan kontrol malware (C2), sehingga memblokir akses ke “infrastruktur backend penting.”

Perusahaan melindungi pengguna dengan memperingatkan mereka secara otomatis dan menonaktifkan aplikasi yang terinfeksi menggunakan Google Play Protect, mekanisme keamanan bawaan di Android.

Selain itu, Google membagikan detail teknis tentang perangkat pengembangan perangkat lunak (SDK) dan infrastruktur perintah dan kontrol (C2) backend NetNut dengan penyedia platform, lembaga penegak hukum, dan peneliti keamanan siber.

Google memperkirakan gangguan NetNut akan berdampak lebih luas pada industri proxy karena botnet “memiliki program reseller yang kuat yang memungkinkan pemberian label putih pada jaringannya” dan banyak layanan proxy residensial populer yang didukung oleh NetNut.

Karayan mengatakan kepada BleepingComputer bahwa mengganggu satu layanan proxy sering kali mendorong operator untuk membeli kapasitas pengganti dari penyedia pesaing, sehingga mengubahnya menjadi pengecer.

“Industri proxy sangat saling terhubung di mana operator terus-menerus membeli dan menjual kembali kapasitas botnet satu sama lain, dan Netnut adalah salah satu jaringan proxy perumahan terbesar dan terpopuler di dunia.”

Tindakan terhadap NetNut adalah bagian dari komitmen Google untuk membongkar botnet proxy perumahan dan mengikuti kebijakan tersebut gangguan IPIDEA awal tahun ini.