Ilmainen sovellus voi vuokrata kotisi IP-osoitteen rikollisille
Sovelluksiin piilotettu koodi ohjaa muiden ihmisten liikennettä kotiliittymän kautta, ja verkkopalveluiden lokeissa liikenne näyttää tulevan liittymän omistajalta.
Tiivistelmä
Yhdysvaltain presidentin kanslian verkosta pystyi lokakuun alun ja marraskuun alun välillä ostamaan ulospääsyn internetiin kaupallisten välityspalveluiden kautta, koska jokin verkon laite ajoi niiden koodia. Sama koodi päätyy tavallisiin puhelimiin ja tietokoneisiin ilmaisten VPN-sovellusten, piraattiohjelmien ja kaistanjakosovellusten mukana. Kotiliittymän kautta tehdyt petokset näyttävät tulevan sen omistajan osoitteesta.
Yhdysvaltain presidentin kanslian verkosta lähti 5. lokakuuta ja 3. marraskuuta välisenä aikana kotiverkkovälityspalveluiden liikennettä 236 kertaa.
Liikenne kulki kuudesta IP-osoitteesta, ja sitä näkyi 26 päivänä 30:stä, kertoo yhdysvaltalainen tietoturvayhtiö Layer3 Intel keskiviikkona julkaisemassaan raportissa. Yhtiön mukaan 28 välityspalvelua pystyi ohjaamaan asiakkaidensa liikennettä ulos juuri tämän verkon kautta.
Noin puolet toiminnasta osui kello 17:n ja puolenyön välille. Layer3 tulkitsee ajoituksen merkiksi siitä, että kyse on jonkun omasta laitteesta eikä vierasverkosta.
Yhtiö kertoo löytäneensä toiminnan sattumalta ja tarjonneensa lokinsa viranomaisille.
Valkoinen talo ei ollut kommentoinut asiaa siihen mennessä, kun KrebsOnSecurity julkaisi juttunsa.
Synthient-tietoturvayhtiö kertoi sivustolle yhdistäneensä osan liikenteestä Windows 11 -koneisiin, joille oli asennettu Infatica-niminen palvelu. Infatica hankkii osoitteensa ohjelmistokehityspaketilla, jota se markkinoi sovellusten kaupallistamistyökaluna Windowsille, Androidille, iOS:lle, macOS:lle ja Linuxille.
Infatican perustaja Vladimir Fomenko omistaa myös King Servers -hostingyhtiön, jonka palvelimilla oli Krebsin mukaan kuusi niistä kahdeksasta IP-osoitteesta, joita käytettiin Arizonan ja Illinoisin vaalijärjestelmiin vuonna 2016 tehdyissä murroissa.
Synthientin perustaja Ben Brundage muistuttaa, kuinka halvalla pääsy myydään.
– Osa jälleenmyyjistä myy kaistaa jopa 60 sentillä gigatavulta. Alle dollarilla pääsee siis joihinkin kaikkein luottamuksellisimmista verkoista, Brundage sanoo KrebsOnSecuritylle.
Kotiverkkovälityspalvelu (residential proxy)
Palvelu myy asiakkailleen oikeuden ohjata liikennettä tavallisten ihmisten kotiliittymien kautta. Verkkosivut näkevät liikenteen tulevan tavallisesta kotitaloudesta, joten sitä on vaikea estää. Laitteet liittyvät verkkoon usein ilmaisiin sovelluksiin piilotetun koodikirjaston kautta.
Sama koodi päätyy tavallisiin puhelimiin
Valkoisen talon tapaus herätti huomiota osoitteensa vuoksi. Googlen ja Synthientin selvitysten perusteella samat ohjelmistokehityspaketit leviävät tavallisiin laitteisiin ilmaisten sovellusten mukana.
Google kertoi tammikuussa katkaisseensa IPIDEA-verkon, jota se pitää maailman suurimpana kotiverkkovälityspalveluna. Yhden tammikuun viikon aikana verkkoa käytti yli 550 uhkaajaryhmää.
Verkkoon kuului Googlen selvityksen perusteella 13 brändiä, neljä ohjelmistokehityspakettia ja yli 600 Android-sovellusta. Google haki oikeusteitse verkkotunnusten sulkemista, ja Play Protect poistaa nyt puhelimista sovellukset, joissa näitä paketteja on. IPIDEA kiistää syytökset.
FBI varoitti toukokuussa 2024 911 S5 -bottiverkosta, joka kattoi yli 19 miljoonaa IP-osoitetta yli 190 maassa. Se levisi ilmaisten VPN-sovellusten mukana, joita jaettiin piraattipelien ja -ohjelmien kylkiäisinä.
Kyberturvallisuuskeskus kertoi kesäkuussa 2024, että verkossa oli mukana tuhansia suomalaisia IP-osoitteita, ja julkaisi ohjeet haittaohjelman poistamiseen. Tarkkaa määrää se ei kertonut.
Toinen reitti kulkee takaoven sisältävien Android-tv-boksien kautta, joista Huijausvahti kertoi tiistaina.
Kun joku kaappaa tilejä tai tekee petoksia vieraan kotiliittymän kautta, verkkopalvelun lokeissa lähteenä voi näkyä liittymän omistajan IP-osoite.
Tunnistusmerkit
Välityskoodi toimii taustalla, joten merkit jäävät helposti huomaamatta. FBI mainitsee BADBOX 2.0 -varoituksessaan yhtenä merkkinä selittämättömän tai epätavallisen verkkoliikenteen.
Google kehottaa suhtautumaan varoen sovelluksiin, jotka maksavat käyttämättömän kaistan jakamisesta.
Ilmainen VPN tuntemattomalta tekijältä tai maksullisen ohjelman piraattiversio on tuttu reitti, jolla koodi päätyy laitteelle.
Mitä tehdä
- Poista ilmaiset VPN-sovellukset tuntemattomilta tekijöiltä, sovellukset, jotka lupaavat passiivisia tuloja internetyhteyden jakamisesta, sekä piraattiohjelmat. Niissä tulot syntyvät juuri liittymäsi vuokraamisesta.
- Käy läpi tietokoneen ohjelmat, puhelimen sovellukset ja niiden käyttöoikeudet sekä selaimen laajennukset. Poista kaikki, mitä et tunnista.
- Pidä Google Play Protect päällä ja asenna sovellukset vain virallisista sovelluskaupoista.
- Tarkista reitittimen liikennetilastot. Jos dataa liikkuu silloinkin, kun kukaan ei käytä verkkoa, se on varoitusmerkki.
- Jos epäilet laitteesi olevan osa tällaista verkkoa, noudata soveltuvin osin Kyberturvallisuuskeskuksen 911 S5 -bottiverkon poisto-ohjeita ja ilmoita asiasta osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Krebs on Security (04.11.2026)
- Layer3 Intel (04.11.2026)
- Google Threat Intelligence (29.01.2026)
- FBI IC3 (29.05.2024)
- FBI IC3 (05.06.2025)
- Kyberturvallisuuskeskus (06.06.2024)