MWC 2018
2018
Computex
IFA 2018
В результате операции, возглавляемой ФБР и экспертами в области кибербезопасности Google, был нейтрализован ботнет NetNut, который использовался в качестве коммерческого прокси-сервиса. В сети работали более 2 млн устройств по всему миру, перенаправляя интернет-трафик через домашние подключения.
Источник изображения: Glenn Carstens-Peters / unsplash.com
Основу ботнета составил комплект разработки вредоносного ПО, встроенный в недорогие устройства на базе Android, включая смарт-телевизоры, стриминговые приставки и неофициальные клиентские приложения, в том числе SmartTube. После подключения эти устройства начинали действовать как точки входа прокси-серверов, не информируя пользователей об этом. Злоумышленники направляли трафик через домашние IP-адреса, что затрудняло обнаружение или блокировку вредоносной деятельности системами безопасности.
Только за одну неделю в июне 2026 года не менее 316 различных группировок использовали сеть NetNut для подбора паролей, кражи учётных данных, реализации мошеннических схем с рекламой и сбора конфиденциальных данных. Механизм работы отличал NetNut от обычных подпольных ботнетов — эксперты связали его с израильской компанией Alarum Technologies, акции которой торгуются на Nasdaq. Ранее Alarum описывала свою платформу как сервис добровольного совместного использования широкополосного доступа, но, как показали независимые технические обзоры, пользователей надлежащим образом не информировали о том, что их устройства будут работать в прокси-сети, и согласия у них тоже не спрашивали. Когда связанные с NetNut домены были изъяты, в Alarum пообещали «в полной мере сотрудничать с правоохранительными органами».
NetNut работала по модели реселлера, которая позволяла другим компаниям переименовывать сеть и продавать доступ к той же инфраструктуре. По версии Google, многие популярные бренды прокси строились на сети NetNut. Власти изъяли несколько сотен связанных с сервисом доменов, а Google заблокировала связанные с управляющими серверами учётные записи и обновила защиту Play Protect, чтобы пометить связанные с незаконной схемой приложения — те, что содержали скомпрометированный SDK, были отключены.
ФБР не стала отключать все домены одновременно — некоторые продолжали работать какое-то время после начала операции. Эксперты указали, что после вывода управляющей ботнетом инфраструктуры присутствие некоторых сайтов в сети уже ни на что не влияло.
Источник:
