גוגל בשיתוף עם ה-FBI וסוכנויות אכיפה נוספות הודיעו בסוף השבוע על פירוק רשת הסייבר NetNut, שזכתה גם לכינוי Popa. מדובר ברשת "פרוקסי למגורים" ששלטה בלפחות שני מיליון מכשירים נגועים ברחבי העולם, בהם טלוויזיות חכמות, ממירי סטרימינג ומכשירי אנדרואיד שונים. הרשת אפשרה לפושעי סייבר ולקבוצות ריגול להסתתר מאחורי כתובות אינטרנט ביתיות לגיטימיות בזמן ביצוע מתקפות.
3+שיטת הפעולה וההשתלטות
מערכת ה-Google Play Protect זיהתה כי המכשירים הפכו לחלק מרשת ה"בוט-נט" לאחר שנדבקו בתוכנה זדונית. בחלק מהמקרים הותקנה התוכנה עוד לפני רכישת המכשיר, ובמקרים אחרים היא נוספה דרך אפליקציות טרויאניות שהורדו על ידי המשתמשים. המכשירים הנגועים שימשו כ"צמתי יציאה", מה שגרם לכך שתעבורת רשת פושעת נראתה כאילו היא מגיעה מביתם של אזרחים תמימים.
3+השימוש בכתובות IP ביתיות הקשה על ספקיות האינטרנט לזהות את הפעילות הזדונית. התוקפים ניצלו את הרשת כדי לבצע מתקפות של "ריסוס סיסמאות" (Password Spraying), שבהן מנסים לפרוץ לחשבונות רבים באמצעות סיסמאות נפוצות, וכן כדי לחדור לסביבות עבודה ארגוניות תוך עקיפת חסמי אבטחה גיאוגרפיים. המהלך אפשר להאקרים לפעול מתחת לרדאר של מערכות ההגנה המתקדמות ביותר.
המבצע והגנת המשתמשים
במסגרת המבצע המתואם, ה-FBI החרים דומיינים מרכזיים ששימשו את הרשת, בהם האתר netnut.com. גוגל מצידה השביתה את כל החשבונות והשירותים בתשתית הענן שלה ששימשו את מפעילי הרשת לצורך פיקוד ושליטה על התוכנות הזדוניות. המהלך חסם את הגישה של התוקפים לתשתית האחורית הקריטית וקטע את שרשרת התקשורת עם המכשירים הנגועים ברחבי הרשת.
3+גוגל מסרה כי היא פועלת באופן יזום כדי להזהיר את המשתמשים שהושפעו ולהשבית את האפליקציות הנגועות במכשיריהם. החברה שיתפה פרטים טכניים על ערכות הפיתוח (SDK) של NetNut עם חוקרי אבטחה וספקי פלטפורמות נוספים כדי למנוע את הקמתה מחדש של הרשת תחת מותגים אחרים. המבצע מהווה חלק מהתחייבות רחבה יותר של ענקיות הטק לפרק את תעשיית ה"בוט-נטים" המקושרת המזינה את פשיעת הסייבר העולמית.
