Le FBI et ses partenaires démantèlent le réseau proxy NetNut et le botnet Popa

Introduction

Une opération conjointe menée par le FBI et l’Internal Revenue Service – Criminal Investigation, avec le soutien de Google, Lumen, Shadowserver et d’autres partenaires industriels, a conduit à la saisie de centaines de noms de domaine appartenant à NetNut, une plateforme de proxys résidentiels gérée par la société israélienne Alarum Technologies (NASDAQ: ALAR). Parallèlement, le botnet Popa a été démantelé, une vaste infrastructure de dispositifs domestiques compromis – au moins deux millions de téléviseurs intelligents et de boîtiers de streaming – qui alimentait les nœuds de sortie du service. L’intervention interrompt un écosystème criminel « white label » exploité par des groupes d’espionnage et des cybercriminels pour anonymiser du trafic illicite, mais la nature même de la plateforme suggère que la résilience de l’écosystème nécessitera des actions itératives.

Analyse technique

NetNut fonctionnait comme un service de proxys résidentiels « légitime » en vendant l’accès à des adresses IP domestiques à des clients tiers. Toutefois, d’après les enquêtes, son infrastructure reposait sur le botnet Popa, c’est-à-dire des dispositifs infectés sans le consentement des utilisateurs. Les nœuds compromis étaient enrôlés par le biais de logiciels malveillants (souvent véhiculés par des applications pour téléviseurs intelligents ou boîtiers Android contenant des SDK hostiles) et gérés comme points de sortie pour le trafic des clients payants.

L’intervention technique a compris :

• La saisie des noms de domaine de contrôle et de gestion de la plateforme par les autorités.
• La désactivation par Google des comptes et services cloud utilisés comme canaux de commande et contrôle (C2), et le retrait des applications contenant les SDK malveillants du Play Store et d’autres écosystèmes.
• Le partage de renseignements par le Google Threat Intelligence Group (GTIG) : en une seule semaine de surveillance, 316 grappes distinctes d’acteurs malveillants – groupes d’espionnage et criminels ordinaires – ont été observées en train d’utiliser les nœuds NetNut pour du scraping massif, des fraudes publicitaires, des prises de contrôle de comptes et du password spraying.
• La collaboration avec Lumen (Black Lotus Labs), Shadowserver et Synthient, qui ont contribué avec des données de traçage et d’analyse des réseaux proxy.

Cette action fait suite au précédent démantèlement du concurrent IPIDEA, frappé en son temps par Google ; NetNut avait rapidement hérité de cette part de clientèle criminelle, démontrant la fluidité du marché des proxys résidentiels malveillants. Alarum Technologies a déclaré sa pleine coopération avec les enquêteurs.

Impact

La dégradation immédiate de la capacité opérationnelle de NetNut est significative : des millions de nœuds de sortie sont devenus indisponibles, générant un effet en cascade sur de nombreux revendeurs « white label » qui achetaient l’accès à la plateforme pour offrir des services d’anonymisation.

Sur le front criminel, on enregistre :

• L’interruption de campagnes malveillantes actives qui utilisaient les proxys pour la reconnaissance, le vol d’identifiants et la propagation de botnets DDoS (ex. Kimwolf) via des mouvements latéraux dans les réseaux domestiques exposés.
• La perte de confiance dans un écosystème déjà ébranlé par la chute d’IPIDEA.

Cependant, la résilience du modèle « white label » est connue : les fournisseurs survivants pourront reprendre la clientèle en augmentant leur propre capacité, rendant indispensable une approche coordonnée et répétée contre de multiples plateformes interconnectées pour obtenir un impact durable.

Atténuation

L’opération repose sur un modèle intégré de lutte qui combine des actions juridiques, techniques et de renseignement :

• Action juridique et saisies : le FBI et l’IRS-CI ont obtenu l’autorisation de saisir les noms de domaine, interrompant le contrôle de l’infrastructure.
• Désactivation des services cloud et retrait d’applications : Google a désactivé les comptes liés aux activités C2 et retiré les applications contenant des SDK malveillants, frappant le cycle d’infection.
• Partage d’indicateurs de compromission (IOC) : des détails sur les noms de domaine, les IP, les empreintes des SDK et les mécanismes de C2 ont été distribués aux plateformes, fournisseurs et chercheurs, permettant un blocage proactif.
• Recommandations pour les entreprises :
  • Bloquer le trafic provenant de plages d’IP de proxys résidentiels connues et suspectes.
  • Appliquer obligatoirement l’authentification multifacteur (MFA) pour contrer le credential stuffing.
  • Surveiller les journaux d’accès pour détecter les signes de password spraying et de prise de contrôle de comptes.
• Stratégie à long terme : démanteler cycliquement les infrastructures de plusieurs fournisseurs interconnectés (ne pas se limiter à une seule cible) afin de miner la capacité de régénération de l’écosystème des proxys malveillants.

FAQ

1. Qu’est-ce que le botnet Popa et comment fonctionnait-il ?
Popa était un botnet composé d’au moins 2 millions de dispositifs domestiques – principalement des téléviseurs intelligents et des boîtiers de streaming sous Android – infectés par des applications malveillantes contenant des SDK hostiles. Les dispositifs étaient transformés en proxys résidentiels, acheminant du trafic tiers via les connexions domestiques à l’insu de leurs propriétaires, exposant ainsi l’ensemble du réseau domestique à des risques.

2. Comment le FBI a-t-il réussi à démanteler la plateforme NetNut ?
Le FBI, avec le soutien de partenaires industriels tels que Google, a saisi des centaines de noms de domaine utilisés pour gérer la plateforme. Parallèlement, Google a désactivé des comptes et des services cloud servant de centres de commande et contrôle, et a retiré les applications vectrices de l’infection. Le renseignement partagé a permis de frapper simultanément plusieurs points de l’infrastructure.

3. Les appareils personnels peuvent-ils encore être infectés ? Et comment se protéger ?
Oui, si les utilisateurs ont installé des applications provenant de sources non officielles ou ne vérifient pas les autorisations demandées, l’appareil peut encore être compromis. Il est conseillé de supprimer les applications suspectes, de rétablir les paramètres d’usine en cas de doute, et d’installer des logiciels uniquement depuis les boutiques officielles. Pour les entreprises, il est essentiel de bloquer les connexions vers des IP appartenant à des proxys résidentiels connus et d’adopter l’authentification multifacteur (MFA) sur tous les comptes.