FBIがNetNetプロキシプラットフォーム、Popaボットネットを押収 – クレブス氏がセキュリティを巡って

連邦捜査局 （FBI）は本日、業界パートナーと協力して、関連する数百のドメインを押収したと発表した。 ネットナッツイスラエルの上場企業が運営する大規模な住宅仲介サービス アララム・テクノロジーズ [NASDAQ: ALAR]。この措置は、KrebsOnSecurityがNetNetにリンクする複数のセキュリティ企業からの調査結果を公表してから約2週間後に行われた。 ポッパ ボットネットは、被害者の同意がほとんど、またはまったくないまま、悪意のあるソフトウェアによって侵害された少なくとも 200 万台のデバイスの集合です。

今日、NetNet ホームページがこの FBI 押収バナーに置き換えられました。

6 月 19 日、セキュリティ会社 3 社が同様の調査結果を発表しました。NetNet は住宅用プロキシネットワークで、Popa と呼ばれるボットネットを配置し、スマート TV やストリーミングボックスなど、家庭で一般的に見られるデバイスにソフトウェアを配布します。 NetNet のソフトウェアは、これらのシステムを常時稼働の住宅用プロキシノードに変え、他者にレンタルします。他者は主に、大規模なコンテンツスクレイピング、広告詐欺、アカウント乗っ取り活動など、不正で侵入的なインターネットトラフィックを中継するためにそれらのシステムを使用します。

本日初め、NetNet のホームページは FBI からの押収通知に置き換えられました。 内国歳入庁の犯罪捜査 分割。差し押さえ通知ありがとう グーグル、 ルーメン、 シャドウサーバー また、専門家によれば、Popa ボットネットは長らく NetNet の住宅用プロキシインフラストラクチャの代名詞であったと専門家は述べています。

本日公開されたブログ投稿では、 グーグル 脅威インテリジェンスグループ (GTIG) によると、NetNet のプロキシネットワークは多くのサードパーティプロキシプロバイダーによって広く再利用され、ホワイトラベルが付けられており、そのサービスは悪意のあるトラフィックの送信元を隠蔽しようとするサイバー犯罪者によって非常に求められています。 GTIG は、2026 年 6 月の 1 週間で、サイバー犯罪者やスパイグループを含む、疑わしい NetNet 出口ノードを使用する脅威アクターの異なるグループ 316 を観察したと発表しました。

GoogleのGTIGは、「これらの攻撃者はNetNetを利用して被害者の環境にアクセスし、自身のインフラストラクチャにアクセスし、パスワードスプレー攻撃を実行しながら発信元のIPアドレスを隠すことができる」と書いている。「さらに、消費者向けデバイスが出口ノードになると、未承認のネットワークトラフィックがそのデバイスを通過します。これは、悪意のある者が同じホームネットワーク上の他のプライベートデバイスにアクセスできることを意味し、実質的にインターネットの脅威にさらされることになります。」

Googleは、NetNutがマルウェアのコマンド＆コントロールに使用するGoogleアカウントとサービスを無効にし、NetNutのソフトウェア開発キット（SDK）とバックエンドインフラストラクチャに関する技術情報をプラットフォームプロバイダー、法執行機関、調査会社と共有したと述べた。同社はまた、NetNet のさまざまな SDK をバンドルしていることが知られているアプリを無効にしました。

オメル・ヴァイスNetNetの親会社Alarum Technologiesの弁護士は、同社がFBIによる押収を認識しており、捜査当局に協力していると述べた。

「アラームはこの問題を真剣に受け止めており、インフラの悪用が徹底的に調査され、責任者が責任を負うことを保証するために法執行機関と全面的に協力する」とワイス氏は書面による声明で述べた。

ベンジャミン・ブランデージ プロキシ追跡サービスの創設者 シンセエント先月、Popa ボットネットと NetNet および Alarum Technologies を結び付ける証拠を発表した企業の 1 社。ブランデージ氏は、ドメインの押収により、Popa ボットネットとその上で動作する Netnet プロキシネットワークの両方が混乱したようだと述べた。

ブランデージ氏は、ネットネットの明らかな終焉はサイバー犯罪コミュニティにとって大きな損失となる可能性が高いと述べた。サイバー犯罪コミュニティは今年初めにネットネットの最大のライバルであるIPIDEAのインフラを占拠したグーグルによる法的措置にすでに動揺していた。

「IPIDEAの削除後、Netnutsは大きな人気を博したため、この削除は大きな影響を与えると思います」と彼は言いました。「また、Netnet は再販業者の間で非常に人気があり、毎日のトラフィック、品質、サイズ、ギガバイトあたりの価格などすべての点で IPIDEA と同等でした。」

NetNet のインフラストラクチャを簡単に説明します。画像: Black Lotus Labs、ルーメン。

Netnut と Popa ボットネットの削除には、さらに別の利点がある可能性があるとブランデージ氏は述べました。それは、不適切に構成された住宅用プロキシサービスの背後に構築された大規模な分散型サービス拒否ボットネットの影響を軽減することです。 Synthiant は 1 月、サイバー犯罪者が IPIDEA プロキシ接続経由で TV ボックス所有者のローカルネットワークにトンネルし、被害者のファイアウォールの内側にある他の Android ベースのデバイスに感染させることで、世界最大の DDoS ボットネット (KimWolf) を作成した方法を明らかにしました。

ブランデージ氏は、多くの大手プロキシプロバイダーがこの活動を阻止する措置を講じている一方、大手プロキシネットワークの再販業者はこの脅威への対応が非常に遅いと述べた。

「これらすべてのTVボックスデバイスのプロキシネットワークが侵害されるという点では、DDoSボットネットに影響を与えるだろう」と同氏は述べた。

Google側としては、今日の行為が「NetNetのプロキシネットワークとその事業運営の大幅な低下をもたらし、プロキシ事業者が利用できるデバイスのプールが何百万台も減少した」と考えている。しかし同社は、IPIDEAが過去数カ月間に行ったように、他のプロキシサービスを効果的に再販することで、プロキシネットワークが自らを再発明する可能性があると警告した。

GTIG レポートは、「Google は、いくつかの人気の住宅用プロキシブランドが実際に NetNut ボットネットにホワイトラベルを付けていると確信している」と結論付けています。「この混乱が住宅用プロキシエコシステムに大きな影響を与えると予想していますが、IPIDEA の混乱後の観察では、個々のネットワークが回復力があるように見えることが証明されました。私たちは、プロキシオペレータが自社のボットネットの劣化に直面すると、競合他社から容量を購入し始め、実質的に再販業者になることを観察しました。これにより、この流動的なエコシステムに永続的な混乱が生じると私たちは信じています。」「これは、相互接続された複数のプロバイダーのインフラストラクチャをターゲットにする取り組みを強化する必要があることを意味します。」

KrebsOnSecurity が繰り返し警告しているように、大手電子商取引 Web サイトで販売されている無名の TV ストリーミングボックスのほとんどには、家庭用プロキシソフトウェアがプリインストールされているか、デバイスを本来の目的 (海賊版映画、スポーツイベント、テレビ番組のストリーミング) に使用するためにプロキシ SDK のインストールが必要です。ここでの Google のアドバイスは適切です。TV ボックスに関しては、評判の良いメーカーの有名ブランドを使用し、インストールするアプリを選択する場合は自制して慎重に行ってください。

Popa ボットネットやその他の脅威によって制御されている粗末な TV ボックスはすべて、非公式の Android オペレーティングシステムを搭載しているか、Google の公式 Play Protect ストアの範囲内では動作しないオペレーティングシステムをユーザーにインストールする必要があります。 Googleは、消費者はこれらの手順に従って、デバイスが公式のAndroid TV OSとPlay Protect認定を使用して構築されているかどうかを確認できると述べています。

TV ストリーミングボックスを持たない人でも、ダウンロード可能な何千ものアプリの 1 つをインストールすることで、スマート TV を住宅用プロキシネットワークに登録できます。 サムスン そして LG スマートテレビ。先月発表されたレポートでは、プロキシ追跡会社は次のように述べています。 インスピレーション LG スマートテレビの webOS オペレーティングシステムを通じてダウンロードできるアプリの 42 パーセントには、テレビを常時オンの住宅用プロキシノードに変える SDK が含まれています。アプリの 4 分の 1 以上が Samsung 向けに作成されました ティゼン Spur は、オペレーティングシステムに同様の住宅用プロキシコンポーネントが含まれていることを発見しました。