A Google és az FBI közösen számolt fel egy kétmillió otthoni eszközt meghackelő kiberbűnözői hálózatot

A Google csütörtökön jelentette be, hogy az amerikai szövetségi nyomozóhatósággal, az FBI-al, valamint a Lumen Technologies nevű internetes infrastruktúra-céggel összefogva sikeresen felszámolt egy NetNut nevű, úgynevezett lakossági proxyhálózatot, amely a becslések szerint legalább kétmillió, világszerte szétszórt magánfelhasználói eszközt – köztük okostévéket és Android alapú médialejátszó dobozokat – térített el annak érdekében, hogy azokon keresztül vezesse át kiberbűnözők internetes forgalmát, és így elrejtse azok valódi kilétét a hatóságok és a nyomozók elől.

Ahhoz, hogy megértsük, miért is olyan veszélyes ez a fajta hálózat, érdemes tisztázni, mit is jelent pontosan a „lakossági proxy" fogalma: ezek olyan szolgáltatások, amelyek lehetővé teszik, hogy valaki az internetes forgalmát ne a saját, hanem valódi háztartásokhoz tartozó internetszolgáltatói címeken keresztül vezesse el, így az áldozat otthoni internetkapcsolatának megjelenésével álcázva a saját, gyakran bűnös tevékenységét. Ehhez azonban az üzemeltetőknek szükségük van arra, hogy milliószámra vonjanak be otthoni eszközöket a hálózatukba, amit vagy úgy érnek el, hogy már eleve kártevővel megfertőzött eszközöket árusítanak a boltokban, vagy pedig úgy, hogy a gyanútlan felhasználók olyan alkalmazásokat töltenek le, amelyekbe rejtett proxykódot csempésztek.

A Google Threat Intelligence Group nevű biztonsági csoportja elmondása szerint a mostani akció keretében letiltották azokat a Google-fiókokat és -szolgáltatásokat, amelyeket a NetNut a kártevők vezérlésére és irányítására használt, mivel ez egyértelműen sértette a Google felhasználási feltételeit. Emellett a vállalat technikai jellegű hírszerzési adatokat osztott meg a bűnüldöző szervekkel, kutatóintézetekkel és más platformszolgáltatókkal a NetNut által használt szoftverfejlesztő-készletekről és háttérinfrastruktúráról annak érdekében, hogy az egész digitális ökoszisztéma tisztában legyen a veszéllyel, és fel tudjon lépni ellene. A Google emellett gondoskodott arról is, hogy a Google Play Protect nevű, Androidba beépített védelmi rendszer automatikusan figyelmeztesse a felhasználókat, és tiltsa le azokat az alkalmazásokat, amelyekről kiderült, hogy NetNut-kódot tartalmaznak, és ez a védelem a jövőben is érvényben marad az újabb telepítési kísérletekkel szemben.

A Google szerint a NetNut nem csupán saját márkanév alatt árusította a hozzáférést a hálózatához, hanem kiterjedt viszonteladói rendszert is működtetett, amely lehetővé tette, hogy más, népszerű proxymárkák valójában ugyanazt a botnetet használják más néven, a felhasználók tudta nélkül. A vállalat ugyanakkor arra is figyelmeztetett, hogy az efféle, egymással szorosan összefonódott hálózatok rendkívül ellenállóak: ha az egyik üzemeltető botnetje meggyengül, egyszerűen kapacitást vásárol a versenytársaitól, és így folytatja tovább a működését, ezért a Google a jövőben is folyamatosan figyelemmel kíséri, hogyan alkalmazkodik a NetNut és annak versenytársai a mostani fellépéshez. Azt, hogy mekkora károkat okozott ez a hálózat a gyakorlatban, jól szemlélteti az az adat, amely szerint a Google szakértői 2026 júniusában mindössze egyetlen hét alatt 316 különálló kiberbűnözői és kémkedési csoportot azonosítottak, amelyek feltehetően a NetNut kilépési pontjait használták fel arra, hogy elrejtsék saját eredetüket, miközben áldozataik rendszereibe próbáltak betörni, vagy éppen jelszavakat próbáltak feltörni tömeges próbálkozásokkal. Az sem elhanyagolható szempont, hogy amikor egy otthoni eszköz kilépési ponttá válik egy ilyen hálózatban, azon keresztül idegen, jogosulatlan internetes forgalom is átfolyik, ami azt jelenti, hogy a támadók akár ugyanannak az otthoni hálózatnak a többi eszközéhez is hozzáférhetnek, ezáltal az egész háztartást kiszolgáltatva az internetes fenyegetéseknek.

Több biztonsági kutatócég, köztük a Synthient és a Nokia Deepfield korábban már összefüggésbe hozta a NetNut infrastruktúráját a hírhedt Mirai nevű túlterheléses támadásokra (DDoS) szakosodott botnet különböző változataival. A Google azt tanácsolja a felhasználóknak, hogy legyenek különösen gyanakvóak minden olyan alkalmazással szemben, amely pénzt kínál a „fel nem használt sávszélességért" cserébe vagy az „internetkapcsolat megosztásáért", mivel ezek jellemzően pontosan az efféle kártékony proxyhálózatok terjedésének fő forrásai, és komoly biztonsági kockázatot jelenthetnek az otthoni hálózat számára. A vállalat emellett arra is felhívta a figyelmet, hogy az okostévék vagy set-top boxok vásárlásakor érdemes megbízható gyártótól származó, hivatalosan tanúsított Android TV-eszközt választani. A csütörtöki akció egyébként nem előzmény nélküli: a Google már januárban is fellépett egy másik, hasonlóan nagyméretű lakossági proxyhálózat, az IPIDEA ellen, és a vállalat jelezte, hogy ez a fajta, folyamatosan bővülő üzletág olyannyira összefonódott, hogy az egymással kapcsolatban álló szolgáltatók ellen a jövőben is folyamatos és összehangolt fellépésekre lesz szükség a hatóságok részéről.

Források: Security Week, Mallory, KFGO, Cloud Google