FBI y socios desmantelan la red proxy NetNut y la botnet Popa

Introducción

Una operación conjunta liderada por el FBI y el Internal Revenue Service – Criminal Investigation, con el apoyo de Google, Lumen, Shadowserver y otros socios de la industria, ha llevado a la incautación de cientos de dominios pertenecientes a NetNut, una plataforma de proxies residenciales gestionada por la empresa israelí Alarum Technologies (NASDAQ: ALAR). Paralelamente, fue desarticulada la botnet Popa, una vasta infraestructura de dispositivos domésticos comprometidos –al menos dos millones entre smart TVs y reproductores de streaming– que alimentaba los nodos de salida del servicio. La intervención interrumpe un ecosistema criminal “white label” explotado por grupos de espionaje y ciberdelincuentes para anonimizar tráfico ilícito, pero la naturaleza misma de la plataforma sugiere que la resiliencia del ecosistema requerirá acciones iterativas.

Análisis técnico

NetNut operaba como un servicio de proxies residenciales “legítimo” vendiendo acceso a direcciones IP domésticas a clientes terceros. Sin embargo, según las investigaciones, su infraestructura estaba construida sobre la botnet Popa, es decir, dispositivos infectados sin el consentimiento de los usuarios. Los nodos comprometidos eran reclutados mediante software malicioso (a menudo vehiculado por aplicaciones para smart TVs o reproductores Android que contenían SDK hostiles) y gestionados como puntos de salida para el tráfico de los clientes.

La intervención técnica incluyó:

• Incautación de los dominios de control y gestión de la plataforma por parte de las autoridades.
• Desactivación por parte de Google de las cuentas y servicios cloud utilizados como canales de comando y control (C2), y eliminación de las aplicaciones que contenían los SDK dañinos de Play Store y otros ecosistemas.
• Compartición de inteligencia por parte de Google Threat Intelligence Group (GTIG): en una sola semana de monitorización se habían observado 316 clústeres distintos de actores maliciosos –entre grupos de espionaje y criminales comunes– utilizando los nodos NetNut para scraping masivo, fraudes publicitarios, robo de cuentas y password spraying.
• Colaboración con Lumen (Black Lotus Labs), Shadowserver y Synthient, que contribuyeron con datos de rastreo y análisis de las redes proxy.

La acción sigue al desmantelamiento previo del competidor IPIDEA, golpeado en su momento por Google; NetNut había heredado rápidamente esa porción de clientela criminal, demostrando la fluidez del mercado de proxies residenciales maliciosos. Alarum Technologies declaró plena cooperación con los investigadores.

Impacto

La degradación inmediata de la capacidad operativa de NetNut es significativa: millones de nodos de salida quedaron indisponibles, generando un efecto cascada sobre numerosos revendedores “white label” que compraban acceso a la plataforma para ofrecer servicios de anonimización.

En el frente criminal, se registra:

• Interrupción de campañas maliciosas activas que utilizaban los proxies para reconocimiento, robo de credenciales y propagación de botnets DDoS (ej. Kimwolf) mediante movimientos laterales en redes domésticas expuestas.
• Pérdida de confianza en un ecosistema ya sacudido por la caída de IPIDEA.

No obstante, la resiliencia del modelo “white label” es conocida: los proveedores supervivientes podrán absorber la clientela aumentando su propia capacidad, haciendo indispensable un enfoque coordinado y repetido contra múltiples plataformas interconectadas para lograr un impacto duradero.

Mitigación

La operación se basa en un modelo integrado de lucha que combina acciones legales, técnicas y de inteligencia:

• Acción legal e incautaciones: el FBI y el IRS-CI obtuvieron la autoridad para incautar los dominios, interrumpiendo el control de la infraestructura.
• Desactivación de servicios cloud y eliminación de apps: Google desactivó las cuentas vinculadas a las actividades C2 y eliminó las aplicaciones con SDK dañinos, golpeando el ciclo de infección.
• Compartición de indicadores de compromiso (IOC): detalles sobre dominios, IPs, huellas de los SDK y mecanismos de C2 se distribuyeron a plataformas, proveedores e investigadores, permitiendo un bloqueo proactivo.
• Recomendaciones para las empresas:
  • Bloquear el tráfico procedente de rangos IP de proxies residenciales conocidos y sospechosos.
  • Aplicar obligatoriamente la autenticación multifactor (MFA) para contrarrestar el credential stuffing.
  • Monitorizar los registros de acceso en busca de señales de password spraying y robo de cuentas.
• Estrategia a largo plazo: desmantelar cíclicamente las infraestructuras de varios proveedores interconectados (no limitarse a un único objetivo) para minar la capacidad de regeneración del ecosistema proxy malicioso.

FAQ

1. ¿Qué es la botnet Popa y cómo funcionaba?
Popa era una botnet compuesta por al menos 2 millones de dispositivos domésticos –principalmente smart TVs y reproductores de streaming basados en Android– infectados mediante aplicaciones maliciosas que contenían SDK hostiles. Los dispositivos se transformaban en proxies residenciales, enrutando tráfico de terceros a través de las conexiones domésticas sin conocimiento de los propietarios, quienes veían toda la red doméstica expuesta a riesgos.

2. ¿Cómo logró el FBI desmantelar la plataforma NetNut?
El FBI, con el apoyo de socios industriales como Google, incautó cientos de dominios utilizados para gestionar la plataforma. Paralelamente, Google desactivó cuentas y servicios cloud que funcionaban como centros de comando y control y eliminó las apps que propagaban la infección. La inteligencia compartida permitió golpear simultáneamente varios puntos de la infraestructura.

3. ¿Pueden seguir infectados los dispositivos personales? ¿Y cómo protegerse?
Sí, si los usuarios instalaron apps desde fuentes no oficiales o no verifican los permisos solicitados, el dispositivo podría seguir comprometido. Se recomienda eliminar aplicaciones sospechosas, restaurar los dispositivos a valores de fábrica en caso de dudas e instalar software solo desde tiendas oficiales. Para las empresas, es fundamental bloquear las conexiones hacia IPs pertenecientes a proxies residenciales conocidos y adoptar MFA en todas las cuentas.