1. Naslov i uvod
Kućni router u hodniku vjerojatno ne doživljavate kao nešto vrijedno. No za cyber kriminalce on je itekako zanimljiv: pruža čistu rezidencijalnu IP adresu i stalnu vezu prema internetu. Novi botnet KadNap, koji je zarazio oko 14.000 routera, vrlo jasno pokazuje kako se taj resurs pretvara u robu na sivom tržištu proxy usluga.
U ovom tekstu fokus nije samo na tehničkim detaljima, nego na širem kontekstu: zašto su kućni routeri kronično nesigurni, kako se razvija tržište "rezidencijalnih proxyja" i što to znači za korisnike i operatere u Hrvatskoj i regiji.
2. Vijest ukratko
Prema pisanju Ars Technice, koja se poziva na istraživanje tvrtke Lumen Black Lotus Labs, identificiran je novi botnet KadNap s oko 14.000 zaraženih routera i drugih mrežnih uređaja u prosječnom danu.
Većina kompromitiranih uređaja su Asus routeri, dominantno u Sjedinjenim Državama, uz manje klastere u Tajvanu, Hong Kongu i Rusiji. Malware se širi iskorištavanjem poznatih ranjivosti za koje vlasnici nisu instalirali zakrpe; istraživači ne vjeruju da se koriste nepoznati zero‑day propusti.
KadNap se izdvaja po peer‑to‑peer arhitekturi upravljanja, temeljnoj na varijanti protokola Kademlia DHT. Umjesto središnjeg komandnog poslužitelja, zaraženi uređaji međusobno koordiniraju prijenos naredbi, što klasične policijske i tehničke metode gašenja botneta čini znatno težima.
Zaraženi routeri služe kao infrastruktura za Doppelganger, komercijalnu proxy uslugu koja prodaje anoniman pristup internetu preko uglavnom rezidencijalnih IP adresa. Za čišćenje uređaja potreban je tvornički reset i ažuriranje firmvera, jer skripta osigurava da infekcija preživi obični restart.
3. Zašto je to važno
Po golemoj brojci uređaja KadNap nije najimpresivniji botnet koji smo vidjeli. No njegova važnost leži u spoju otporne P2P kontrole i direktne monetizacije putem proxy tržišta.
Tko dobiva, a tko gubi?
Gube prije svega obični korisnici i mala poduzeća: njihovi routeri – često u vlasništvu operatora – postaju dio kriminalne infrastrukture bez njihova znanja. Oni plaćaju struju i promet; netko drugi zarađuje na tom prometu.
Gube i proizvođači (ovoga puta je u fokusu Asus), ali problem je sustavan: gotovo svi proizvođači CPE opreme imaju prekratke cikluse podrške i nespretne mehanizme ažuriranja.
Dobivaju:
- Operateri rezidencijalnih proxyja, koji tržištu nude "prave kućne IP adrese" bez previše pitanja o tomu kako su do njih došli.
- Kupci tih usluga – od onih koji masovno isprobavaju tuđe lozinke, do onih koji žele raditi scraping ili oglašivačke prijevare bez da ih itko blokira.
- Skupine specijalizirane za zlouporabu routera i IoT uređaja, koje sada svoj botnet mogu jednostavno priključiti na postojeću komercijalnu platformu.
Suštinski problem je što se kućni router i dalje tretira kao jeftina plastika, a ne kao kritična točka sigurnosti. KadNap ogoljuje nekoliko starih grijeha:
- uređaji s višegodišnjim ranjivostima i bez pouzdanog automatskog ažuriranja,
- modeli koji ostaju u pogonu dugo nakon isteka službene podrške,
- nesigurne zadane postavke (slabe lozinke, nepotrebni servisi izloženi internetu, udaljena administracija).
Kada se na to nadogradi decentralizirani DHT mehanizam upravljanja, klasični modeli gašenja botneta (zapljena centralnog C2 poslužitelja, sinkhole kampanje) gube učinkovitost. Botnet se ponaša više kao roj koji se sam organizira nego kao piramida s jasnom hijerarhijom.
4. Šira slika
KadNap nije izolirani incident, nego logičan korak u razvoju trendova koje pratimo već godinama.
Od DDoS topništva do "infrastrukture kao usluge".
Rani IoT botneti poput Mirai prvenstveno su se unajmljivali za DDoS napade. Kasnije kampanje, primjerice VPNFilter, pokazale su da zaraženi routeri mogu služiti za nadzor prometa, napade na korporativne mreže i – vrlo važno – kao proxy točke prema internetu.
U međuvremenu se razvio cijeli sloj usluga "rezidencijalnih" i "mobilnih" proxyja. Neki nude legalne modele dijeljenja veze uz pristanak korisnika; druge su istraživači već hvatali kako se oslanjaju na hakirane uređaje. KadNap taj model samo dovodi do kraja: specijalizirani router‑botnet "ulijeva" svoju kapacitet u gotovu proxy platformu.
Decentralizacija kao odgovor na akcije policije.
Od uspješnih međunarodnih akcija protiv mreža poput Emoteta ili Gameover Zeusa napadači su naučili važnu lekciju: sve dok postoji središnji C2, postoji i slaba točka.
Zato KadNap koristi Kademlia DHT:
- nema jedne IP adrese ili domene koju policija može jednostavno zaplijeniti,
- mreža podnosi gubitak dijela čvorova bez većih posljedica,
- mapiranje cijele topologije zahtijeva puno vremena i resursa.
S tehničke strane, to je elegantno; s perspektive obrane vrlo neugodno.
Poveznica s ekonomijom podataka i umjetne inteligencije.
Na sve se nadovezuje i rastuća glad za podacima i automatizacijom. Mnogo alata – od scraperskih farmi za e‑trgovinu do sustava za prikupljanje podataka za treniranje AI modela – treba:
- ogroman volumen web prometa,
- mogućnost izbjegavanja ograničenja i blokada,
- geografski raznolike IP adrese koje izgledaju kao promet stvarnih korisnika.
Rezidencijalni proxyji idealno ispunjavaju te uvjete. Ne znamo točno kako se koriste IP adrese iz KadNap mreže, ali jasno je da takva infrastruktura savršeno odgovara svima koji žele veliki obujam + prikrivenost.
5. Europski i regionalni kut
Iako je većina zaraženih uređaja zasad u SAD‑u i Aziji, faktori rizika u Hrvatskoj i EU su isti.
U Hrvatskoj većina kućnih routera dolazi preko operatora (HT, A1, Telemach, Iskon…). To znači:
- Ako operator sporo ili nedosljedno distribuira zakrpe, tisuće korisnika mogu završiti u sličnoj botnet mreži.
- S druge strane, operatori imaju mogućnost centralno upravljati CPE opremom, gurati ažuriranja i filtrirati sumnjiv promet na razini svoje mreže, koristeći indikatore kompromitacije kakve objavljuju istraživači.
Na razini EU, regulativa se ubrzano mijenja. NIS2 direktiva, Cyber Resilience Act, a posredno i GDPR, guraju proizvođače i pružatelje usluga prema modelu "sigurnost po dizajnu". Kućni routeri, koji su do jučer bili tretirani kao potrošna roba, sve više ulaze u fokus kao dio šire kritične infrastrukture.
Za države članice poput Hrvatske to znači:
- prilagodbu nacionalnog zakonodavstva,
- jačanje uloge tijela poput HAKOM‑a i nacionalnog CERT‑a,
- potencijalne obveze za operatore da proaktivno otkrivaju i saniraju kompromise CPE opreme.
Istodobno se otvara prostor za regionalne proizvođače i integratore da ponude rješenja s duljom podrškom, automatskim ažuriranjem i boljim zadanim postavkama sigurnosti.
6. Što slijedi
KadNap vjerojatno nije ni prvi ni zadnji botnet ovakve vrste. Pitanje je kako će se priča dalje razvijati u sljedećih nekoliko godina.
1. Veći i raznolikiji botneti.
Koncept P2P‑DHT mreže funkcionira i u ovoj relativno maloj skali. Ništa ne sprječava napadače da ga prošire na stotine tisuća ili milijune uređaja – kombinirajući routere, kamere, TV prijamnike i druge IoT uređaje.
2. Dodatna profesionalizacija proxy tržišta.
Tržište rezidencijalnih proxyja raste i postaje sve "urednije":
- bolji paneli, API sučelja i dokumentacija za developere,
- integracija u alate za digitalni marketing, scraping i "growth hacking".
S druge strane, možemo očekivati više regulatornog pritiska: zahtjeve za transparentnost izvora IP adresa, obveze za procesore plaćanja koji rade s ovakvim uslugama te povremene policijske akcije usmjerene na komercijalni sloj ekosustava.
3. Veće obveze za proizvođače i operatore.
Za operatore u EU – pa time i u Hrvatskoj – kombinacija NIS2 i Cyber Resilience Acta gotovo sigurno znači da će:
- morati birati opremu s jasno definiranim rokom sigurnosne podrške,
- uvesti sigurnije i automatizirane mehanizme ažuriranja,
- poboljšati inicijalne konfiguracije (bez otvorenog daljinskog upravljanja, sa snažnim lozinkama itd.).
U praksi, operateri postaju upravitelji distribuirane kritične infrastrukture, a ne samo prodavači paketa interneta.
4. Rizik neželjenih posljedica.
Blokiranje komunikacije botneta poput KadNapa na razini operatora – što istraživači smatraju izvedivim – učinkovito je, ali nije bez rizika. Ako se C2 promet vješto sakrije unutar legitimnih P2P protokola, preagresivno filtriranje može pogoditi i legitimne korisnike i usluge.
Zadatak će biti pronaći pravu mjeru između sigurnosti i dostupnosti usluga, uz bolju razmjenu informacija između operatora, CERT‑ova i pružatelja sadržaja.
7. Zaključak
KadNap nije najveći botnet na svijetu, ali je važan znak smjera u kojem idemo. Pokazuje kako zanemareni kućni routeri, decentralizirani protokoli i rastuće tržište rezidencijalnih proxyja zajedno čine infrastrukturu koju je teško ugasiti, a lako unovčiti.
Za korisnike i operatore u Hrvatskoj i regiji poruka je jasna: vrijeme je da se prema kućnom routeru odnosimo kao prema sigurnosno bitnom sustavu, ne samo kao prema "kutiji za Wi‑Fi". Pitanje je hoćemo li to shvatiti sada – ili tek nakon sljedećeg, većeg botneta.
