FBI e partner smantellano la rete proxy NetNut e la botnet Popa

Introduzione

Un’operazione congiunta guidata dall’FBI e dall’Internal Revenue Service – Criminal Investigation, con il supporto di Google, Lumen, Shadowserver e altri partner industriali, ha portato al sequestro di centinaia di domini appartenenti a NetNut, una piattaforma di proxy residenziali gestita dalla società israeliana Alarum Technologies (NASDAQ: ALAR). Parallelamente, è stata disarticolata la botnet Popa, una vasta infrastruttura di dispositivi domestici compromessi – almeno due milioni tra smart TV e box di streaming – che alimentava i nodi di uscita del servizio. L’intervento interrompe un ecosistema criminale “white label” sfruttato da gruppi di spionaggio e cybercriminali per anonimizzare traffico illecito, ma la natura stessa della piattaforma suggerisce che la resilienza dell’ecosistema richiederà azioni iterative.

Analisi tecnica

NetNut operava come un servizio di proxy residenziali “legittimo” vendendo accesso a indirizzi IP domestici a clienti terzi. Tuttavia, secondo le indagini, la sua infrastruttura era costruita sulla botnet Popa, ovvero dispositivi infetti senza il consenso degli utenti. I nodi compromessi venivano arruolati tramite software malevolo (spesso veicolato da applicazioni per smart TV o box Android contenenti SDK ostili) e gestiti come punti di uscita per il traffico dei paganti.

L’intervento tecnico ha visto:

• Sequestro dei domini di controllo e gestione della piattaforma da parte delle autorità.
• Disabilitazione, da parte di Google, degli account e dei servizi cloud utilizzati come canali di comando e controllo (C2), e rimozione delle applicazioni contenenti gli SDK dannosi dal Play Store e da altri ecosistemi.
• Condivisione di intelligence da parte di Google Threat Intelligence Group (GTIG): in una sola settimana di monitoraggio erano stati osservati 316 cluster distinti di attori malevoli – tra gruppi di spionaggio e criminali comuni – mentre utilizzavano i nodi NetNut per scraping massivo, frodi pubblicitarie, account takeover e password spraying.
• Collaborazione con Lumen (Black Lotus Labs), Shadowserver e Synthient, che hanno contribuito con dati di tracciamento e analisi delle reti proxy.

L’azione segue il precedente smantellamento del concorrente IPIDEA, a suo tempo colpito da Google; NetNut aveva rapidamente ereditato quella fetta di clientela criminale, dimostrando la fluidità del mercato dei proxy residenziali malevoli. Alarum Technologies ha dichiarato piena cooperazione con gli investigatori.

Impatto

Il degrado immediato della capacità operativa di NetNut è significativo: milioni di nodi di uscita sono divenuti indisponibili, generando un effetto a cascata su numerosi rivenditori “white label” che acquistavano accesso alla piattaforma per offrire servizi di anonimizzazione.

Sul fronte criminale, si registra:

• Interruzione di campagne malevole attive che utilizzavano i proxy per ricognizione, furto di credenziali e propagazione di botnet DDoS (es. Kimwolf) attraverso movimenti laterali in reti domestiche esposte.
• Perdita di fiducia in un ecosistema già scosso dalla caduta di IPIDEA.

Tuttavia, la resilienza del modello “white label” è nota: i provider superstiti potranno rilevare la clientela aumentando la propria capacità, rendendo indispensabile un approccio coordinato e ripetuto contro molteplici piattaforme interconnesse per ottenere un impatto duraturo.

Mitigazione

L’operazione si basa su un modello integrato di contrasto che combina azioni legali, tecniche e di intelligence:

• Azione legale e sequestri: FBI e IRS-CI hanno ottenuto l’autorità per sequestrare i domini, interrompendo il controllo dell’infrastruttura.
• Disabilitazione dei servizi cloud e rimozione app: Google ha disattivato gli account legati alle attività C2 e rimosso le applicazioni con SDK dannosi, colpendo il ciclo di infezione.
• Condivisione di indicatori di compromissione (IOC): dettagli su domini, IP, fingerprint degli SDK e meccanismi di C2 sono stati distribuiti a piattaforme, fornitori e ricercatori, permettendo un blocco proattivo.
• Raccomandazioni per le aziende:
  • Bloccare il traffico proveniente da range IP di proxy residenziali noti e sospetti.
  • Applicare obbligatoriamente l’autenticazione a più fattori (MFA) per contrastare il credential stuffing.
  • Monitorare i log di accesso per segnali di password spraying e account takeover.
• Strategia a lungo termine: smantellare ciclicamente le infrastrutture di più provider interconnessi (non limitarsi a un singolo target) per minare la capacità di rigenerazione dell’ecosistema proxy malevolo.

FAQ

1. Che cos’è la botnet Popa e come funzionava?
Popa era una botnet composta da almeno 2 milioni di dispositivi domestici – principalmente smart TV e box streaming basati su Android – infettati tramite applicazioni malevole contenenti SDK ostili. I dispositivi venivano trasformati in proxy residenziali, instradando traffico di terzi attraverso le connessioni domestiche all’insaputa dei proprietari, che vedevano l’intera rete domestica esposta a rischi.

2. In che modo l’FBI è riuscita a smantellare la piattaforma NetNut?
L’FBI, con il supporto di partner industriali come Google, ha sequestrato centinaia di domini utilizzati per gestire la piattaforma. Parallelamente, Google ha disattivato account e servizi cloud che fungevano da centri di comando e controllo e ha rimosso le app veicolanti l’infezione. L’intelligence condivisa ha permesso di colpire contemporaneamente più punti dell’infrastruttura.

3. I dispositivi personali possono essere ancora infetti? E come proteggersi?
Sì, se gli utenti hanno installato app da fonti non ufficiali o non verificano i permessi richiesti, il dispositivo potrebbe essere ancora compromesso. È consigliabile rimuovere applicazioni sospette, ripristinare i dispositivi ai valori di fabbrica in caso di dubbi, e installare software solo da store ufficiali. Per le aziende, è fondamentale bloccare le connessioni verso IP appartenenti a proxy residenziali noti e adottare l’MFA su tutti gli account.