FBI und Partner zerschlagen das NetNut-Proxy-Netzwerk und das Popa-Botnetz

Einleitung

Eine gemeinsame Operation unter der Leitung des FBI und der Internal Revenue Service – Criminal Investigation (IRS-CI), unterstützt von Google, Lumen, Shadowserver und weiteren Industriepartnern, hat zur Beschlagnahmung von Hunderten von Domains geführt, die zu NetNut gehören – einer Residential-Proxy-Plattform, die von dem israelischen Unternehmen Alarum Technologies (NASDAQ: ALAR) betrieben wird. Parallel dazu wurde das Botnetz Popa zerschlagen, eine umfangreiche Infrastruktur aus mindestens zwei Millionen kompromittierten Heimgeräten – darunter Smart-TVs und Streaming-Boxen –, die als Ausgangsknoten für den Dienst dienten. Der Eingriff unterbricht ein kriminelles „White-Label“-Ökosystem, das von Spionagegruppen und Cyberkriminellen zur Anonymisierung illegalen Datenverkehrs genutzt wird. Allerdings deutet die Beschaffenheit der Plattform darauf hin, dass die Resilienz des Ökosystems iterative Maßnahmen erfordern wird.

Technische Analyse

NetNut agierte als „legitimer“ Residential-Proxy-Dienst und verkaufte Zugang zu privaten IP-Adressen an Drittkunden. Den Ermittlungen zufolge basierte die Infrastruktur jedoch auf dem Popa-Botnetz, also auf Geräten, die ohne Zustimmung der Nutzer infiziert wurden. Die kompromittierten Knoten wurden über Schadsoftware rekrutiert (häufig verbreitet durch Anwendungen für Smart-TVs oder Android-Boxen, die schädliche SDKs enthielten) und als Ausgangspunkte für den Datenverkehr der zahlenden Kunden verwaltet.

Zu den technischen Gegenmaßnahmen zählten:

• Beschlagnahmung der Steuerungs- und Verwaltungsdomains der Plattform durch die Behörden.
• Deaktivierung der für Command-and-Control (C2) genutzten Konten und Cloud-Dienste durch Google sowie die Entfernung der Anwendungen mit den schädlichen SDKs aus dem Play Store und anderen Ökosystemen.
• Bereitstellung von Erkenntnissen durch die Google Threat Intelligence Group (GTIG): In nur einer Überwachungswoche wurden 316 verschiedene Cluster bösartiger Akteure – darunter Spionage- und kriminelle Gruppen – beobachtet, die NetNut-Knoten für massives Scraping, Werbebetrug, Kontoübernahmen und Password-Spraying nutzten.
• Zusammenarbeit mit Lumen (Black Lotus Labs), Shadowserver und Synthient, die mit Tracking-Daten und Analysen der Proxy-Netzwerke beitrugen.

Die Aktion folgt auf die vorherige Zerschlagung des Konkurrenten IPIDEA, der zuvor von Google getroffen wurde; NetNut hatte diesen Kundenstamm rasch übernommen, was die Fluidität des Marktes für bösartige Residential-Proxys verdeutlicht. Alarum Technologies erklärte, uneingeschränkt mit den Ermittlern kooperiert zu haben.

Auswirkungen

Die unmittelbare Einschränkung der operativen Fähigkeiten von NetNut ist erheblich: Millionen von Ausgangsknoten sind ausgefallen, was einen Kaskadeneffekt auf zahlreiche „White-Label“-Wiederverkäufer hatte, die Zugang zur Plattform erworben hatten, um Anonymisierungsdienste anzubieten.

Auf krimineller Seite ist zu verzeichnen:

• Unterbrechung aktiver Schadkampagnen, die die Proxys für Aufklärung, den Diebstahl von Zugangsdaten und die Verbreitung von DDoS-Botnetzen (z. B. Kimwolf) durch laterale Bewegungen in exponierten Heimnetzwerken nutzten.
• Vertrauensverlust in ein Ökosystem, das bereits durch den Fall von IPIDEA erschüttert war.

Allerdings ist die Resilienz des „White-Label“-Modells bekannt: Die verbleibenden Anbieter können die Kundschaft durch Kapazitätserweiterung übernehmen, sodass ein koordinierter und wiederholter Ansatz gegen mehrere miteinander verbundene Plattformen erforderlich ist, um eine nachhaltige Wirkung zu erzielen.

Gegenmaßnahmen

Die Operation basiert auf einem integrierten Bekämpfungsmodell, das rechtliche, technische und nachrichtendienstliche Maßnahmen kombiniert:

• Rechtliche Schritte und Beschlagnahmungen: FBI und IRS-CI erwirkten die Genehmigung zur Beschlagnahmung der Domains und unterbrachen so die Kontrolle über die Infrastruktur.
• Deaktivierung von Cloud-Diensten und Entfernung von Apps: Google deaktivierte die mit den C2-Aktivitäten verbundenen Konten und entfernte die Anwendungen mit schädlichen SDKs, wodurch der Infektionszyklus gestört wurde.
• Bereitstellung von Kompromittierungsindikatoren (IOCs): Details zu Domains, IPs, SDK-Fingerabdrücken und C2-Mechanismen wurden an Plattformen, Anbieter und Forscher weitergegeben, um ein proaktives Blockieren zu ermöglichen.
• Empfehlungen für Unternehmen:
  • Blockieren Sie Datenverkehr aus bekannten und verdächtigen IP-Bereichen von Residential-Proxys.
  • Erzwingen Sie die Multi-Faktor-Authentifizierung (MFA), um Credential Stuffing zu bekämpfen.
  • Überwachen Sie Zugriffsprotokolle auf Anzeichen von Password-Spraying und Kontoübernahmen.
• Langfristige Strategie: Zyklische Zerschlagung der Infrastrukturen mehrerer miteinander verbundener Anbieter (nicht nur eines einzelnen Ziels), um die Regenerationsfähigkeit des bösartigen Proxy-Ökosystems zu untergraben.

FAQ

1. Was ist das Popa-Botnetz und wie hat es funktioniert?
Popa war ein Botnetz aus mindestens zwei Millionen Heimgeräten – hauptsächlich Smart-TVs und Android-basierte Streaming-Boxen –, die über bösartige Apps mit schädlichen SDKs infiziert wurden. Die Geräte wurden in Residential-Proxys umgewandelt und leiteten Datenverkehr Dritter über die heimischen Internetanschlüsse weiter, ohne dass die Besitzer davon wussten. Dadurch war das gesamte Heimnetzwerk Risiken ausgesetzt.

2. Wie konnte das FBI die NetNut-Plattform zerschlagen?
Das FBI beschlagnahmte mit Unterstützung von Industriepartnern wie Google Hunderte von Domains, die zur Steuerung der Plattform genutzt wurden. Gleichzeitig deaktivierte Google Konten und Cloud-Dienste, die als Command-and-Control-Zentren fungierten, und entfernte die Apps, die die Infektion verbreiteten. Die gemeinsame Nutzung von Informationen ermöglichte es, mehrere Punkte der Infrastruktur gleichzeitig zu treffen.

3. Können persönliche Geräte immer noch infiziert sein? Und wie kann man sich schützen?
Ja, wenn Nutzer Apps aus inoffiziellen Quellen installiert haben oder die angeforderten Berechtigungen nicht überprüfen, könnte das Gerät weiterhin kompromittiert sein. Es wird empfohlen, verdächtige Anwendungen zu entfernen, das Gerät im Zweifelsfall auf die Werkseinstellungen zurückzusetzen und Software nur aus offiziellen Stores zu installieren. Für Unternehmen ist es entscheidend, Verbindungen zu IPs bekannter Residential-Proxys zu blockieren und auf allen Konten Multi-Faktor-Authentifizierung (MFA) einzusetzen.