Amikor az okos tévéd titokban fedezéket nyújt bűnözőknek

A Google az FBI-jal, a Lumen hálózatüzemeltetővel és más partnerekkel együttműködve leállította a NetNut proxy-hálózatot, amelyet Popa néven is ismernek. Az esetet az teszi szokatlanná, hogy hétköznapi háztartásokat érint. A megfertőzött eszközök nagy része az emberek otthonában található okos-TV és streaming-készülék. A Google Threat Intelligence Group becslése szerintbecslése szerint a NetNut világszerte legalább kétmillió eszközt érintett.

Mi köze van egy proxyhálózatnak a tévédhez

?

Egy lakossági proxyhálózat azt a szolgáltatást kínálja, hogy a forgalmat hétköznapi otthoni internetkapcsolatok IP-címein keresztül irányítsa. A bűnözők ezt arra használják, hogy származási helyüket egy feltűnésmentes lakossági IP-cím mögé rejtsék. Ahhoz, hogy ez működjön, egy kódrészletnek a lehető legtöbb otthoni eszközön futnia kell, így azok kilépési csomópontokká válnak. Ez a kód az úgynevezett SDK-k révén kerül számos háztartásban található eszközre, különösen okos tévékre és streaming-készülékekre, amint azt a KrebsOnSecurity saját kutatásában dokumentálta. A kártevő kétféle módon juthat el egy eszközre: vagy már a vásárlás előtt előre telepítve van, vagy a felhasználók tudtukon kívül letöltenek egy rejtett proxy-kódot tartalmazó alkalmazást.

Miért veszélyes ez az érintettek számára?

Ha a saját eszközöd kilépési csomóponttá válik, mások forgalma a te otthoni kapcsolatodon keresztül halad. A saját IP-címedet ezután támadások, jelszótörések vagy csalások kiindulópontjaként használhatják fel. Az érintettek számára ez azt jelenti, hogy saját, törvényes forgalmukat a szolgáltató gyanúsnak minősítheti vagy blokkolhatja. A támadók az eltérített csomópontot arra is felhasználhatják, hogy hozzáférjenek az ugyanazon otthoni hálózaton lévő egyéb eszközökhöz. 2026 júniusának egyetlen hetében a Google 316 különböző, NetNut-csomópontokat használó támadócsoportot számolt össze, köztük kiberbűnözőket és kémtevékenységet folytató szereplőket. Olyan biztonsági cégek, mint a Synthient, a Spur és a Nokia Deepfield szintén dokumentálták, hogy a NetNut-ot a Mirai DDoS-botnet változatainak eszközökre történő terjesztésére használták.

Mit tett a Google?

A Google letiltotta azokat a fiókokat és szolgáltatásokat, amelyeket a NetNut a kártevő szoftver irányítására használt, és megosztotta a hatóságokkal és a biztonsági cégekkel az SDK-kkal és az infrastruktúrával kapcsolatos műszaki részleteket. A Google Play Protect, a Android beépített védelmi rendszere, mostantól automatikusan figyelmezteti a felhasználókat a NetNut-kódot tartalmazó alkalmazásokra, és letiltja azokat. A Google szerint ez több millióval csökkentette a rendelkezésre álló eszközök számát. Ez azonban nem jelent önfenntartó megoldást. A NetNut egy viszonteladói programot működtet, amely lehetővé teszi más szolgáltatók számára, hogy ugyanazt a botnetet saját nevük alatt értékesítsék. A Google arra számít, hogy az üzemeltetők kapacitást vásárolnak majd a versenytársaktól, amint saját hálózatuk gyengülni kezd.

Hogyan védheti meg készülékeit

?

Legyen óvatos azokkal az alkalmazásokkal, amelyek pénzt ígérnek a fel nem használt sávszélesség megosztásáért. Pontosan így növekednek az ilyen hálózatok. A Google azt javasolja, hogy kizárólag hivatalos alkalmazásboltokból töltsön le alkalmazásokat, ellenőrizze a harmadik féltől származó VPN- és proxy-alkalmazások jogosultságait, valamint tartsa bekapcsolva a Play Protect szolgáltatást. Streaming-készülékek vagy set-top boxok vásárlásakor válasszon megbízható gyártókat. Az Android oldalon közvetlenül ellenőrizheti, hogy egy adott eszköz rendelkezik-e Play Protect tanúsítvánnyal. A televíziók esetében a Android TV oldalon található a tanúsított partnerek listája.