Google triệt phá mạng lưới proxy dân cư NetNut với hơn 2 triệu thiết bị bị chiếm dụng

Google vừa công bố một chiến dịch phối hợp cùng FBI, Lumen và các đơn vị an ninh mạng nhằm làm suy yếu NetNut – một trong những mạng lưới proxy dân cư lớn nhất thế giới. Theo Google Threat Intelligence Group (GTIG), mạng lưới này đã bị cắt giảm hàng triệu thiết bị có khả năng hoạt động.

NetNut là gì và cách thức hoạt động?

NetNut (còn được biết đến với tên gọi Popa) là mạng lưới phân tán trên các thiết bị gia đình toàn cầu, bao gồm cả Smart TV và các thiết bị streaming. Ước tính có ít nhất 2 triệu thiết bị đang bị lợi dụng để làm “nút thoát” (exit node). Khi thiết bị của người dùng bị biến thành proxy, kẻ tấn công có thể định tuyến lưu lượng truy cập độc hại qua kết nối internet của nạn nhân. Điều này khiến các hoạt động phạm pháp trông giống như lưu lượng truy cập từ người dùng gia đình thông thường, giúp kẻ tấn công vượt qua các cơ chế chặn từ trung tâm dữ liệu (datacenter).

Các thiết bị này thường bị lây nhiễm thông qua các ứng dụng miễn phí hoặc được cài đặt sẵn trên các phần cứng giá rẻ không rõ nguồn gốc. Khi đã bị kiểm soát, thiết bị không chỉ trở thành cổng trung chuyển mà còn có thể bị kẻ tấn công sử dụng làm bàn đạp để xâm nhập vào các thiết bị khác trong cùng mạng nội bộ, hoặc bị lôi kéo vào các botnet khổng lồ như Mirai hay Badbox 2.0.

Mối liên hệ với doanh nghiệp

Đáng chú ý, NetNut được vận hành bởi Alarum Technologies, một công ty niêm yết trên sàn chứng khoán NASDAQ. Mặc dù các nhà nghiên cứu từ Qurium, Synthient và Nokia Deepfield đã chỉ ra bằng chứng về việc lưu lượng truy cập thương mại được định tuyến qua các thiết bị dân cư, phía Alarum Technologies bác bỏ cáo buộc “botnet” và khẳng định phần mềm của họ chỉ phục vụ mục đích chia sẻ băng thông có sự đồng ý của người dùng. Tuy nhiên, các thử nghiệm thực tế cho thấy nhiều ứng dụng liên quan không hề hiển thị thông báo yêu cầu sự đồng ý của người dùng.

Tại sao việc triệt phá là một thách thức?

Google thừa nhận đây mới chỉ là bước “làm suy yếu” thay vì triệt hạ hoàn toàn. NetNut vận hành theo mô hình đại lý (reseller), cho phép nhiều thương hiệu khác nhau bán lại quyền truy cập vào cùng một mạng lưới thiết bị. Do đó, ngay cả khi một nhánh bị chặn, các nhà vận hành vẫn có thể chuyển hướng sang các đối tác khác hoặc mua lại băng thông từ các mạng lưới đối thủ.

Khuyến nghị cho người dùng

Để bảo vệ thiết bị gia đình khỏi việc bị lợi dụng làm proxy, người dùng nên lưu ý:

• Cảnh giác với các ứng dụng hứa hẹn trả tiền cho việc “chia sẻ băng thông không sử dụng”.
• Chỉ cài đặt ứng dụng từ các kho chính thức và kiểm tra kỹ quyền truy cập của các ứng dụng VPN hoặc proxy.
• Luôn bật các tính năng bảo mật tích hợp như Google Play Protect.
• Ưu tiên mua thiết bị Smart TV và thiết bị streaming từ các nhà sản xuất uy tín thay vì các thương hiệu không tên tuổi.

Nguồn tham khảo: The Hacker News