Chiến dịch phối hợp làm gián đoạn botnet proxy NetNut, cắt quyền truy cập 2 triệu thiết bị
"A joint operation involving Google, the FBI, and industry partners disrupted NetNut, a residential proxy network that reportedly controlled at least 2 million compromised Android-based devices, including smart TVs and streaming boxes. Google disabled associated accounts and backend infrastructure, used Play Protect to warn users and disable infected apps, and shared technical indicators to help further dismantle the botnet and its reseller ecosystem."
Giảm đáng kể khả năng lạm dụng residential proxy quy mô lớn nhờ vô hiệu hoá C2 và cắt quyền truy cập hạ tầng backend; đồng thời Play Protect giúp ngăn ứng dụng bị nhiễm tiếp tục hoạt động.
Tác động vận hành tích cực cho hệ sinh thái phòng thủ khi giảm nguồn proxy cho tấn công, nhưng thị trường có thể chuyển sang nhà cung cấp thay thế do mô hình reseller/whitelabel trong ngành.
Một chiến dịch phối hợp giữa Google, FBI và các đối tác trong ngành đã làm gián đoạn NetNut (còn được biết đến là Popa), một mạng residential proxy dùng để cung cấp quyền truy cập cho hàng triệu thiết bị Android bị xâm nhập, bao gồm smart TV và streaming boxes. Theo Google Threat Intelligence Group (GTIG), mạng này ước tính kiểm soát ít nhất 2 triệu thiết bị bị nhiễm trên toàn cầu.
NetNut cho phép tác nhân đe doạ ẩn lưu lượng độc hại sau các địa chỉ IP gia đình hợp lệ, qua đó hỗ trợ nhiều hoạt động như truy cập hạ tầng của chính chúng, password-spraying và kết nối tới môi trường nạn nhân. Các thiết bị bị đưa vào mạng thông qua ứng dụng bị cài sẵn trước khi mua hoặc qua ứng dụng trojanized.
Về kỹ thuật, Google đã vô hiệu hoá tài khoản và dịch vụ trên hạ tầng của mình dùng cho malware command-and-control (C2), đồng thời sử dụng Google Play Protect để cảnh báo người dùng và tắt ứng dụng bị nhiễm. Ngoài ra, các bên đã chia sẻ thông tin kỹ thuật về SDK/C2 và chỉ báo kỹ thuật để hỗ trợ tiếp tục triệt phá hệ sinh thái botnet và chương trình reseller/whitelabel.
Khuyến nghị: doanh nghiệp nên rà soát thiết bị/ứng dụng Android có dấu hiệu nhiễm, cập nhật chính sách giám sát theo proxy egress, và tăng cường kiểm tra IOC liên quan đến NetNut/SDK/C2.