Google und FBI stören NetNut

Google, das FBI und mehrere Sicherheitspartner haben das Residential-Proxy-Netzwerk NetNut gestört. Nach Angaben der Google Threat Intelligence Group umfasste die Infrastruktur mindestens zwei Millionen kompromittierte Geräte weltweit – darunter Smart-TVs und Streaming-Boxen.

NetNut, auch als Popa bekannt, soll private Internetanschlüsse als Exit-Nodes genutzt haben. Angreifer konnten dadurch ihren Ursprung verschleiern und schädlichen Traffic über scheinbar legitime Heimanschlüsse leiten. Google beobachtete in einer Juni-Woche 316 unterschiedliche Threat-Cluster, die mutmaßliche NetNut-Exit-Nodes nutzten – darunter cyberkriminelle und nachrichtendienstlich motivierte Gruppen.

Millionen Geräte als Tarninfrastruktur

Residential-Proxies sind für Angreifer attraktiv, weil sie Sicherheitskontrollen umgehen können, die Rechenzentrums-IP-Adressen oder bekannte VPN-Infrastrukturen blockieren. Über kompromittierte Heimgeräte lassen sich Aktivitäten wie Password Spraying, Account Takeover, Scraping oder Zugriffe auf Opferumgebungen schwerer zuordnen.

Laut Google wurden unter anderem Google-Konten und Dienste deaktiviert, die für Command-and-Control-Infrastruktur genutzt worden sein sollen. Zudem teilte das Unternehmen technische Details zu SDKs und Backend-Systemen mit Plattformbetreibern, Strafverfolgern und Sicherheitsforschern. Android-Nutzer sollen über Google Play Protect vor bekannten Apps mit NetNut-Komponenten geschützt worden sein.

KrebsOnSecurity berichtet zusätzlich, dass hunderte Domains im Zusammenhang mit NetNut und dem Popa-Botnetz beschlagnahmt wurden. Die Muttergesellschaft Alarum Technologies bestätigte, dass bestimmte NetNut-Domains durch das FBI beschlagnahmt wurden, kündigte Kooperation mit den Behörden an und meldete später Störungen eines Teils ihrer Dienste.

Relevanz für IT-Entscheider

Der Fall zeigt, dass Botnetze nicht mehr nur klassische Server, PCs oder Router betreffen. Auch Consumer-Geräte können als Infrastruktur für Angriffe auf Unternehmen dienen. Für Security-Teams erschwert das die Bewertung von IP-Reputation, weil Angriffe über unauffällige private Anschlüsse laufen können.

Unternehmen sollten deshalb nicht allein auf IP-basierte Blocklisten vertrauen. Wichtiger werden risikobasierte Authentifizierung, starke MFA, Erkennung ungewöhnlicher Login-Muster, Schutz vor Password Spraying und eine kontinuierliche Analyse von Zugriffen auf Cloud- und SaaS-Umgebungen.

Auch im Unternehmensumfeld selbst ist das Thema relevant: Smart-TVs, Konferenzsysteme, Set-top-Boxen oder andere IoT-Geräte sollten nicht unkontrolliert in produktiven Netzen hängen. Segmentierung, Inventarisierung und restriktive Egress-Regeln bleiben zentrale Maßnahmen, um Missbrauch früh zu erkennen oder zu begrenzen.

Kein endgültiger Schlag gegen Residential-Proxies

Die Aktion dürfte NetNut erheblich gestört haben. Ein endgültiges Ende des Problems ist sie aber nicht. Google warnt selbst, dass Betreiber nach Takedowns Kapazitäten bei anderen Proxy-Netzwerken einkaufen können. Die Proxy-Ökonomie ist stark vernetzt, viele Angebote werden weiterverkauft oder unter White-Label-Marken vermarktet.

Für IT-Entscheider ist die wichtigste Lehre daher nicht der einzelne Takedown, sondern die strukturelle Entwicklung: Angreifer nutzen zunehmend verteilte, schwer zuzuordnende Infrastrukturen aus privaten Anschlüssen und IoT-Geräten. Sicherheitsarchitekturen müssen darauf vorbereitet sein.