Das FBI beschlagnahmt die NetNut-Proxy-Plattform bei der Auflösung des Popa-Botnets
KrebsOnSecurity berichtete, dass das FBI Domains beschlagnahmte, die mit NetNut und dem Popa-Botnetz in Verbindung stehen, nachdem Forschungen das Wohnungsproxy-Ökosystem mit Millionen kompromittierter Geräte in Verbindung gebracht hatten.
Unterstützendes Bild: NetNut-Domänenbeschlagnahmungsmitteilung.
Am 2. Juli 2026 berichtete KrebsOnSecurity, dass das FBI zusammen mit Industriepartnern Hunderte von Domains beschlagnahmt hat, die mit NetNut in Verbindung stehen, einem Residential-Proxy-Dienst, der von Alarum Technologies betrieben wird. Krebs verband die Aktion mit früheren Untersuchungen, die NetNut mit Popa in Verbindung brachten, einem Botnet, das aus mindestens zwei Millionen Geräten besteht, die durch Software kompromittiert wurden, die mit wenig oder gar keiner sinnvollen Zustimmung der Opfer installiert wurde.
Die Geschichte ist wichtig, weil residential Proxy-Dienste jetzt Teil der Cyberkriminalitäts-Lieferkette sind. Angreifer nutzen sie, um die Quelle der Aktivitäten zu verschleiern, Login-Versuche über gewöhnliche Heim-IP-Adressen zu verteilen und bösartigen Datenverkehr wie normalen Konsumverkehr aussehen zu lassen.
Warum das wichtig ist
Krebs berichtete, dass NetNut-Software und zugehörige SDKs in Apps und Geräten gefunden wurden, die üblicherweise in Haushalten vorhanden sind, einschließlich Smart-TVs und Streaming-Boxen. Die Google Threat Intelligence Group sagte ebenfalls, dass NetNut-Exit-Knoten in einer einzigen Woche im Juni 2026 von Hunderten von Bedrohungsakteur-Clustern genutzt wurden.
Das macht dies zu mehr als nur einer Geschichte über ein Verbrauchergerät. Wenn ein kompromittiertes Heimgerät zu einem Exit-Knoten wird, kann das Netzwerk des Hauseigentümers als Deckung für Passwortattacken, Datenabfragen, Kontoübernahmen und Aufklärung dienen.
Die von Google durchgeführte Forschung zu verwandten Residential-Proxies erklärt, warum diese Art von Infrastruktur gefährlich ist: In gewöhnlichen Anwendungen eingebettete SDKs können Geräte in Exit-Knoten verwandeln, während gestufte Command-and-Control-Systeme Proxy-Aufgaben zuweisen und den Datenverkehr über Verbrauchernetzwerke leiten. Google warnte auch, dass der Datenverkehr andere Geräte im selben privaten Netzwerk erreichen kann, wenn ein Gerät zu einem Exit-Knoten wird.
Krebs berichtete, dass Google Konten und Dienste, die von NetNut für Malware-Befehls- und Steuerungszwecke genutzt wurden, deaktivierte, technische Informationen mit Plattformanbietern und Strafverfolgungsbehörden teilte und Apps deaktivierte, die dafür bekannt sind, NetNut-SDKs zu bündeln. Diese Kombination ist wichtig, weil Wohnproxy-Netzwerke nicht nur durch die Beschlagnahme einer Homepage zerstört werden; Verteidiger müssen Apps, SDK-Verteilung, Befehls- und Steuerungssysteme, Wiederverkäuferpfade und Kundenzugang stören.
Was Wohnungs-Proxy-Abschaltungen schwierig macht
Wohnproxy-Ökosysteme sind von Natur aus unübersichtlich. Sie können den ursprünglichen SDK-Entwickler, App-Publisher, White-Label-Proxy-Verkäufer, Wiederverkäufer, Zahlungsintermediäre und Endkunden einbeziehen. Ein einzelner Gerätebesitzer weiß möglicherweise niemals, dass seine Bandbreite verkauft wird.
Das bedeutet, dass ein Abschalten mehrere Ebenen ansprechen muss:
- Domains und C2-Server, die Geräte registrieren und ihnen Aufgaben zuweisen.
- Apps und SDKs, die Geräte in den Proxy-Pool eintragen.
- Konten und Cloud-Dienste, die zum Betreiben des Netzwerks verwendet werden.
- Wiederverkäufer und White-Label-Marken, die weiterhin Zugriff verkaufen.
- Missbrauchspfade, die von Kunden für Credential-Angriffe und Scraping genutzt werden.
Was Verteidiger tun sollten
- Verringern Sie die alleinige Abhängigkeit von der IP-Reputation.
- Erkennen Sie verteiltes Passwort-Spraying über Heimnetzwerke.
- Korrigieren Sie die Quell-IP mit Geräte-Fingerabdruck, Sitzungshistorie und Benutzerverhalten.
- Erfordern Sie phishing-resistente MFA für Hochrisikokonten.
- Behandeln Sie unbekannte Streaming-Boxen und sideloaded TV-Apps als Sicherheitsrisiken in Heim- und Kleinbetriebsnetzwerken.
- Sensibilisieren Sie Remote-Arbeiter dafür, dass die Hygiene des Heimnetzwerks die Sicherheit der Unternehmens-Identität beeinflusst.
Die Quintessenz
Die Beschlagnahme von NetNut ist eine Erinnerung daran, dass Angreiferinfrastrukturen in gewöhnlichen Häusern existieren können. Sicherheitsteams sollten davon ausgehen, dass „privat“ nicht automatisch „vertrauenswürdig“ bedeutet.