Las redes proxy residenciales se han convertido en una de las herramientas favoritas de los ciberdelincuentes para ocultar su actividad en internet. Una de las mayores infraestructuras de este tipo, conocida como NetNut o Popa, acaba de sufrir un duro golpe tras una operación internacional en la que ha participado Google junto a organismos públicos y empresas especializadas en ciberseguridad.
La intervención ha permitido desarticular buena parte de una plataforma que aprovechaba millones de dispositivos Android comprometidos para redirigir tráfico malicioso.
Entre los equipos afectados había televisores inteligentes, decodificadores de streaming y otros dispositivos conectados a internet que, en muchos casos, funcionaban sin que sus propietarios fueran conscientes de que estaban siendo utilizados por terceros.
Una botnet con al menos dos millones de dispositivos comprometidos
La infraestructura de NetNut controlaba alrededor de dos millones de dispositivos Android repartidos por numerosos países.
La red se apoyaba en equipos domésticos infectados para ofrecer direcciones IP residenciales aparentemente legítimas a delincuentes informáticos y grupos dedicados al espionaje.
El funcionamiento era relativamente sencillo. Una vez comprometido un dispositivo, este pasaba a formar parte de la botnet y se convertía en un punto de salida para el tráfico generado por los atacantes.
De esta manera, las actividades maliciosas parecían proceder de conexiones domésticas reales, dificultando enormemente su detección.
Esta tecnología permitía ocultar campañas de robo de información, ataques automatizados contra servicios online, intentos masivos de acceso mediante contraseñas filtradas o el acceso encubierto a infraestructuras de las víctimas.
Cómo llegaban los dispositivos a formar parte de la red
Los investigadores explican que los equipos podían quedar comprometidos de distintas formas. En algunos casos, el software malicioso ya venía instalado antes de que el consumidor comprara el dispositivo.
En otros, la infección se producía tras descargar aplicaciones modificadas o aparentemente legítimas que incluían código malicioso.
Una vez instalado el malware, el dispositivo quedaba integrado dentro de la red proxy sin mostrar necesariamente síntomas evidentes para el usuario.
El propietario seguía utilizando normalmente su televisor inteligente o su reproductor multimedia mientras estos colaboraban silenciosamente con la infraestructura criminal.
Además del riesgo para la privacidad, esta situación podía provocar que las direcciones IP de los usuarios fueran identificadas como sospechosas por proveedores de internet o plataformas digitales, llegando incluso a sufrir bloqueos temporales debido al tráfico ilícito generado desde sus conexiones.
Una operación coordinada contra la infraestructura criminal
El desmantelamiento de NetNut ha sido fruto de la colaboración entre Google, el FBI, Lumen Technologies, The Shadowserver Foundation y diversos socios especializados en seguridad informática.
Uno de los pasos más relevantes consistió en la incautación de varios dominios utilizados por la plataforma, incluido uno de los principales portales empleados por la red para ofrecer sus servicios.
Paralelamente, Google desactivó cuentas y servicios alojados en su infraestructura que los operadores utilizaban para gestionar el sistema de mando y control del malware.
Al eliminar estos componentes esenciales, la capacidad de coordinación de la botnet quedó seriamente limitada, dificultando la comunicación con los millones de dispositivos comprometidos.
Más de 300 grupos de amenazas utilizaban la plataforma
Durante una única semana analizada recientemente, los especialistas detectaron la utilización de nodos de NetNut por parte de 316 grupos distintos relacionados tanto con el cibercrimen como con operaciones de espionaje.
La enorme popularidad de esta infraestructura se debía a que ofrecía un elevado volumen de direcciones IP residenciales distribuidas por numerosos países, una característica especialmente valiosa para quienes pretendían ocultar su verdadera ubicación mientras desarrollaban campañas maliciosas.
Además, NetNut mantenía un amplio programa de reventa que permitía a otros operadores comercializar el servicio bajo su propia marca. Este modelo de negocio convirtió a la plataforma en una pieza clave dentro del mercado clandestino de proxies residenciales.
Google refuerza la protección de Android
Como parte de la operación, Google activó medidas adicionales para proteger a los usuarios de Android.
Entre ellas figura la detección automática de aplicaciones infectadas mediante Google Play Protect, el sistema de seguridad integrado en el sistema operativo, capaz de advertir al usuario y desactivar software potencialmente peligroso.
La compañía también compartió información técnica sobre la infraestructura utilizada por NetNut, incluyendo detalles relacionados con sus servidores de mando y control y los componentes empleados para distribuir el malware.
Estos datos permitirán que otras empresas tecnológicas, organismos públicos e investigadores mejoren sus mecanismos de detección.
