NetNut / Popa: Η Google διαταράσσει το residential proxy network

Μια σημαντική επιτυχία στον χώρο της κυβερνοασφάλειας ανακοίνωσε η Google, γνωστοποιώντας ότι περιόρισε δραστικά τη λειτουργία του NetNut, ενός από τα μεγαλύτερα δίκτυα residential proxies παγκοσμίως. Η επιχείρηση πραγματοποιήθηκε σε συνεργασία με το FBI, τη Lumen και άλλους οργανισμούς ασφαλείας, με αποτέλεσμα να αφαιρεθούν εκατομμύρια οικιακές συσκευές από την υποδομή του δικτύου.

Σύμφωνα με την Google Threat Intelligence Group (GTIG), το NetNut – γνωστό και με την ονομασία Popa – αξιοποιούσε περισσότερες από δύο εκατομμύρια συνδεδεμένες συσκευές σε ολόκληρο τον κόσμο. Ανάμεσά τους περιλαμβάνονταν Android TV boxes, streaming players και έξυπνες τηλεοράσεις, οι οποίες χρησιμοποιούνταν ως ενδιάμεσοι κόμβοι για τη μεταφορά διαδικτυακής κίνησης τρίτων χρηστών.

Τι είναι τα residential proxy networks

Τα residential proxy networks αποτελούν μια ιδιαίτερη κατηγορία υπηρεσιών που προσφέρουν πρόσβαση σε πραγματικές οικιακές συνδέσεις διαδικτύου. Σε αντίθεση με τους servers που φιλοξενούνται σε data centers, οι οικιακές IP θεωρούνται περισσότερο αξιόπιστες από πολλές διαδικτυακές υπηρεσίες, καθώς μοιάζουν με φυσιολογική δραστηριότητα ενός απλού χρήστη.

Δείτε επίσης: IPIDEA: Η Google “χτύπησε” ένα από τα μεγαλύτερα Residential Proxy Networks

Αυτό το χαρακτηριστικό τις καθιστά ιδιαίτερα ελκυστικές για κυβερνοεγκληματίες. Μέσω αυτών μπορούν να αποκρύπτουν την πραγματική τοποθεσία τους, να παρακάμπτουν μηχανισμούς προστασίας ιστοσελίδων και να εκτελούν επιθέσεις χωρίς να αποκαλύπτεται εύκολα η προέλευση της κίνησής τους.

Στην πράξη, εάν μια οικιακή συσκευή έχει ενταχθεί σε ένα τέτοιο δίκτυο, άγνωστοι χρήστες μπορούν να διοχετεύουν τη δική τους διαδικτυακή δραστηριότητα μέσω της σύνδεσης του ιδιοκτήτη της, δημιουργώντας σημαντικούς κινδύνους τόσο για την ασφάλεια όσο και για τη φήμη του.

Πώς οι συσκευές μετατρέπονται σε «κόμβους εξόδου»

Η ένταξη μιας συσκευής σε ένα τέτοιο δίκτυο μπορεί να γίνει με περισσότερους από έναν τρόπους. Σε αρκετές περιπτώσεις, λογισμικό proxy βρίσκεται ήδη προεγκατεστημένο σε οικονομικές συσκευές άγνωστης προέλευσης. Σε άλλες περιπτώσεις, εγκαθίσταται μέσω δωρεάν εφαρμογών που αποκρύπτουν τη συγκεκριμένη λειτουργία από τον χρήστη.

Από τη στιγμή που ενεργοποιηθεί, η συσκευή λειτουργεί ως «exit node», επιτρέποντας τη διέλευση δεδομένων τρίτων μέσω της οικιακής σύνδεσης. Η Goοgle προειδοποιεί ότι αυτή η διαδικασία δεν περιορίζεται μόνο στη μεταφορά traffic, αλλά μπορεί να δημιουργήσει ένα επιπλέον σημείο πρόσβασης προς άλλες συσκευές του ίδιου τοπικού δικτύου.

Η κατάσταση γίνεται ακόμη πιο επικίνδυνη όταν τέτοιες συσκευές ενσωματώνονται παράλληλα σε botnets όπως τα Mirai και Badbox 2.0, τα οποία χρησιμοποιούνται συχνά για επιθέσεις μεγάλης κλίμακας.

Χρήση από εγκληματικές οργανώσεις και ομάδες κατασκοπείας

Τα στοιχεία της GTIG αποκαλύπτουν το μέγεθος του προβλήματος. Μέσα σε μόλις μία εβδομάδα του Ιουνίου εντοπίστηκαν 316 διαφορετικές ομάδες απειλών που αξιοποιούσαν κόμβους του NetNut για να αποκρύπτουν την πραγματική τους προέλευση.

Μεταξύ αυτών περιλαμβάνονταν ομάδες κυβερνοεγκλήματος, αλλά και φορείς που συνδέονται με επιχειρήσεις ψηφιακής κατασκοπείας. Οι συγκεκριμένες υποδομές χρησιμοποιήθηκαν για επιθέσεις brute force σε λογαριασμούς χρηστών, καθώς και για άλλες κακόβουλες ενέργειες που απαιτούν μεγάλη διασπορά διευθύνσεων IP.

Η σύνδεση με την Alarum Technologies

Ιδιαίτερο ενδιαφέρον παρουσιάζει το γεγονός ότι το NetNut συνδέεται με την ισραηλινή Alarum Technologies, εταιρεία εισηγμένη στο αμερικανικό χρηματιστήριο. Ερευνητές από τις Qurium, Synthient, Nokia Deepfield και Spur υποστήριξαν ότι το Popa και το NetNut αποτελούν ουσιαστικά την ίδια υποδομή.

Δείτε επίσης: Google Home Speaker: Εξαιρετικό ηχείο, αλλά το Gemini δεν είναι έτοιμο

Η ίδια η Goοgle αναφέρει ότι τα δικά της ευρήματα συμφωνούν με αυτή την εκτίμηση. Από την άλλη πλευρά, η Alarum απορρίπτει κατηγορηματικά τον χαρακτηρισμό «botnet», υποστηρίζοντας ότι η υπηρεσία της βασίζεται αποκλειστικά σε εθελοντικό διαμοιρασμό εύρους ζώνης και ότι δεν θέτει σε κίνδυνο τις συσκευές των χρηστών.

Ωστόσο, δοκιμές ανεξάρτητων ερευνητών έδειξαν ότι πολλές εφαρμογές που συμμετείχαν στο δίκτυο δεν ενημέρωναν ξεκάθαρα τους χρήστες πως η σύνδεσή τους θα χρησιμοποιούνταν για μεταφορά κίνησης τρίτων, γεγονός που δημιουργεί σοβαρά ερωτήματα γύρω από τη συναίνεση.

Γιατί η εξάρθρωση δεν λύνει οριστικά το πρόβλημα

Παρά τη σημαντική επιτυχία της επιχείρησης, η Goοgle ξεκαθαρίζει ότι πρόκειται για «υποβάθμιση» και όχι για οριστική εξουδετέρωση του δικτύου. Το NetNut διαθέτει ένα εκτεταμένο πρόγραμμα μεταπωλητών, επιτρέποντας σε πολλές διαφορετικές υπηρεσίες proxy να αξιοποιούν την ίδια υποδομή κάτω από διαφορετικές εμπορικές ονομασίες.

Αυτό σημαίνει ότι ακόμη και αν ένας πάροχος σταματήσει να λειτουργεί, η ίδια υποδομή μπορεί να επανεμφανιστεί μέσω άλλων συνεργατών ή ανταγωνιστικών υπηρεσιών. Παρόμοια εικόνα είχε καταγραφεί και στις επιχειρήσεις κατά των IPIDEA και Badbox 2.0, τα οποία επανήλθαν με διαφορετικές μορφές μετά τις πρώτες παρεμβάσεις των αρχών.

Δείτε επίσης: Το Google Home επιτέλους έχει σχέδιο για να διορθώσει το ‘Familiar Faces’ της Nest Cam

Πώς μπορούν να προστατευθούν οι χρήστες

Οι ειδικοί συμβουλεύουν τους καταναλωτές να αποφεύγουν εφαρμογές που υπόσχονται οικονομική ανταμοιβή για την «αξιοποίηση του αχρησιμοποίητου bandwidth» ή για την κοινή χρήση της σύνδεσης στο διαδίκτυο. Επιπλέον, συνιστούν την εγκατάσταση εφαρμογών αποκλειστικά από επίσημα app stores, τη διατήρηση ενεργού του Goοgle Play Protect και την αγορά smart TVs ή streaming συσκευών μόνο από αξιόπιστους κατασκευαστές.

Η πρόσφατη επιχείρηση της Goοgle αποτελεί σημαντικό πλήγμα για το NetNut, ωστόσο η ζήτηση για residential proxies παραμένει ιδιαίτερα υψηλή. Αυτό σημαίνει ότι οι εγκληματικές οργανώσεις θα συνεχίσουν να αναζητούν νέες υποδομές, καθιστώντας την επαγρύπνηση χρηστών, εταιρειών και ερευνητών κυβερνοασφάλειας πιο απαραίτητη από ποτέ.