Netzwerk zerschlagen: Millionen Streaminggeräte per Malware als Proxy missbraucht
FBI-Ermittler haben zusammen mit Sicherheitsexperten von Google und Lumen ein großes Proxy-Netzwerk zerschlagen, das von Cyberkriminellen genutzt wurde, um Traffic zu verschleiern. Wie die Google Threat Intelligence Group (GTIG) mitteilte(öffnet im neuen Fenster), wird die Größe des Netzwerks auf etwa zwei Millionen Geräte geschätzt. Betroffen sind vor allem Smart-TVs und Streaming-Boxen.
Die Google-Forscher nennen das Proxy-Netzwerk Netnut, es ist aber wohl ebenso unter dem Namen Popa bekannt. Es bestand aus sogenannten Residential-Proxys. Cyberkriminelle konnten diese gegen eine Gebühr nutzen, um ihren Datenverkehr umzuleiten, dabei ihre eigene IP-Adresse zu verschleiern und beispielsweise Password-Spraying-Angriffe auszuführen.
Infektion per Download oder ab Werk
Aufgebaut wurde Netnut den Angaben zufolge durch die Bereitstellung spezieller Software Development Kits (SDK), die in Anwendungen auf Android-Geräten wie Smart-TVs und Streamingboxen zum Einsatz kamen. Manchmal wurden entsprechende Apps erst nachträglich von Nutzern installiert und die jeweiligen Geräte damit unwissentlich in das Proxy-Netzwerk eingegliedert.
Oft handelt es sich bei den beteiligten Geräten aber auch um Billighardware auf Android-Basis, die ab Werk mit Malware und ohne schützende Google-Dienste wie Play Protect(öffnet im neuen Fenster) ausgeliefert wird. Laut Google gab es auch Überschneidungen mit der schon seit Jahren bekannten Badbox-Kampagne, die sich ebenfalls auf ab Werk kompromittierte Geräte konzentriert.
Google greift durch
Für Verbraucher ist Netnut nicht nur deshalb gefährlich, weil Angreifer damit Zugang zu ihrem lokalen Netzwerk erhalten. Kriminelle können ihren Traffic damit auch über den jeweiligen privaten Internetanschluss leiten. Anwender bekommen von der Malware-Infektion oftmals gar nichts mit. Dennoch kann ihre IP-Adresse durch den Einsatz infizierter Geräte mit Cybercrime-Aktivitäten in Verbindung gebracht werden.
Details zu Netnut sind unter anderem bei Synthient(öffnet im neuen Fenster), Spur(öffnet im neuen Fenster), Nokia Deepfield(öffnet im neuen Fenster) sowie in einem Bericht des Security-Reporters Brian Krebs(öffnet im neuen Fenster) zu finden.
Google hat das Netzwerk nach eigenen Angaben unschädlich gemacht, indem der Konzern den Netnut-Betreiber von genutzten Google-Diensten und damit von seiner Kontrollinfrastruktur abgeschnitten und Details über die Infrastruktur an Strafverfolgungsbehörden übergeben hat. Betroffene Nutzer wurden wohl, sofern auf dem jeweiligen Gerät vorhanden, über Google Play Protect vor den Malware-Infektionen gewarnt.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.