Investigadores de Google desmantelan NetNut, una red 'proxy' maliciosa con 2 millones de dispositivos comprometidos

Surgen avances clave en el escenario mundial. Investigadores de ciberseguridad de Google, junto al FBI y socios de la industria, han desmantelado una de las redes de 'proxies' residenciales maliciosas más grandes a nivel global, conocida como NetNut, que alcanzó a comprometer 2 millones de dispositivos del hogar. NetNut, también conocido como Popa, es una de las redes de 'proxies' más populares actualmente, que se caracteriza por permitir a los ciberdelincuentes esconder sus actividades maliciosas bajo direcciones IP legítimas a la hora de lanzar sus ataques, concretamente, vendiendo la capacidad de enrutar tráfico a través de direcciones IP propiedad de proveedores de servicios internet. Esta red 'proxy' tenía comprometidos al menos dos millones de dispositivos a nivel global, incluyendo desde dispositivos de 'streaming' a Smart TV, que se infectaban a través de aplicaciones troyanizadas y 'botnets' como Badbox 2.

0, con lo que los actores maliciosos empaquetaban complementos 'plugins' de 'proxy' ocultos. Sin embargo, el Grupo de Inteligencia de Amenazas de Google (GTIG), de la mano del FBI, Lumen y otras organizaciones del sector, han logrado tomar medidas contra la red NetNut, desarticulándola e impactando directamente en sus operaciones individuales. Así lo ha compartido la compañía en un comunicado en su blog de seguridad, donde ha señalado que este golpe estratégico se une a la desarticulación de la red de 'proxy' IPIDEA a principios de año, reforzando el compromiso de la tecnológica de desmantelar 'botnets' de 'proxies'.

Los detalles

Según ha compartido Google, durante su investigación, en solo una semana del pasado mes de junio identificaron hasta 316 grupos de amenazas distintos operando en esta red NetNut, abarcando desde ciberdelincuencia común hasta actores de ciberespionaje. Estos actores maliciosos utilizaban los dispositivos de los usuarios y la red para ocultar sus direcciones de IP de origen, lanzar ataques de fuerza bruta y acceder a los entornos de las víctimas. Por tanto con un dispositivo infectado, los ciberdelincuentes convertían el 'hardware' doméstico de los usuarios en "nodos de salida", exponiendo además sus redes de Internet más amplias y provocando que los operadores (ISPs) bloquearan o marcaran por error como sospechoso el tráfico legítimo de dichos hogares.

Para frenar estas actividades maliciosas, Google ha ido a por la red NetNut, desmantelando su infraestructura mediante la inhabilitación de las cuentas y servicios de la tecnológica, que NetNut explotaba para las tareas de comando y control (C2) del 'malware'. Esto permitió cesar su infraestructura crítica de 'backend', como han asegurado. Asimismo, también han introducido medidas de protección para el ecosistema.

A través de Google Play Protect, se ha desactivado automáticamente el 'software' infectado en los dispositivos de las víctimas y se les ha alertado sobre este incidente de seguridad con notificaciones automáticas. Para evitar una continuación de esta red 'proxy', Google también ha compartido sus datos obtenidos de inteligencia técnica con otros proveedores de plataformas, firmas de investigación y otras fuerzas del orden. Concretamente, han compartido los datos recaudados sobre los kits de desarrollo de 'software' (SDK) de NetNut y la infraestructura de comando y control (C2) de 'bakend'.

"Si bien las interrupciones puntuales son una herramienta fundamental para proteger a nuestros usuarios, se necesita un esfuerzo continuo y coordinado para reducir las redes de proxies maliciosas a largo plazo", ha subrayado Google, al tiempo que ha animado a las plataformas móviles, proveedores de Internet y otras plataformas a que "sigan compartiendo información y tomen medidas directas".

El desarrollo ha despertado una amplia atención internacional, con los círculos diplomáticos siguiéndolo de cerca.