Действия хакеров раскрыли в ФБР.
ФБР совместно с Google и рядом технологических компаний провело операцию против NetNut — сервиса резидентных прокси-сетей, связанного с ботнетом из примерно 2 млн телевизоров с Android TV и других устройств для умного дома. По данным следствия, сеть использовалась для подбора паролей, атак на учетные записи и другой вредоносной активности, пишет CNET.
Резидентные прокси позволяют маскировать кибератаки под обычный интернет-трафик. Для этого злоумышленники используют зараженные устройства пользователей, превращая их в промежуточные узлы для проведения атак. Во многих случаях вредоносное ПО было предустановлено на устройства еще до продажи.
В начале июля ФБР по решению суда изъяло несколько доменов. В расследовании также участвовали Google, Lumen Technologies и организация Shadowserver Foundation. По оценке Google, действия правоохранителей серьезно нарушили работу NetNut и лишили сеть миллионов устройств.
Расследование связано с ботнетом Vo1d, который специалисты XLab обнаружили в 2024 году. Он состоял преимущественно из взломанных Android TV-приставок малоизвестных брендов. Исследователи также выявили модуль Popa — инструмент для создания прокси-узлов, который устанавливался на устройства без ведома владельцев. Сами по себе резидентные прокси-сети являются легальным инструментом и используются для тестирования безопасности, анализа рекламы и сбора данных. Однако зараженные устройства из сети Vo1d позволяли злоумышленникам проводить атаки и скрывать свое местоположение за IP-адресами обычных пользователей.
По данным Google, NetNut, принадлежащая израильской компании Alarum Technologies, была одним из крупнейших операторов резидентных прокси-сетей. Исследователи установили, что через инфраструктуру сервиса проходил трафик, связанный с ботнетом Popa, что и стало основанием для вмешательства правоохранителей.
