Asocks-botnettet nedtatt: 17 millioner enheter [2026]

Den 28. mai 2026 gjennomførte nederlandsk politi og Nasjonal sikkerhets- og krisereduksjonssenter (NCSC-NL) en av de største botnet-nedtakingene i historien. Politiet beslagla over 200 kommando- og kontrollservere fra en nederlandsk hostingleverandør og kuttet infrastrukturen bak Asocks, en russiskbasert proxytjeneste som hadde infisert minst 17 millioner enheter i 163 land. Botnettets servere er borte, men enhetene er fortsatt infisert og kan rekrutteres på nytt.

Nedtakingen avdekker noe viktigere enn en enkelt kriminell operasjon: den eksponerer en voksende bransje der nettkriminelle selger tilgang til kaprede forbrukerenheter som abonnementstjeneste, for så lite som 5 dollar per måned. Routere, smarttelefoner, nettbrett og smarte kameraer i norske hjem kan inngå i slike nettverk uten at eierne aner det.

Hva skjedde: Nederlandsk politi slår til mot historisk botnet

Operasjonen ble annonsert 28. mai 2026 etter måneder med etterforskning. En privat sikkerhetsetterforsker varslet NCSC-NL om botnettets eksistens. Senteret videresendte tipset til politiets cyberenhet, som gjennomførte en koordinert razzia mot en nederlandsk hostingleverandør.

Resultatet var enestående: politiet beslagla et utvalg av de over 200 serverene for etterforskning, og leverandøren tok resten av infrastrukturen offline etter å ha konstatert at den ble brukt til kriminell virksomhet. Nederlandsk politi beskriver aksjonen som en av de største forstyrringene av skadelig programvare noensinne.

“Kriminelle kan fjernstyre enhetene, ofte uten at eieren merker det,” sa nederlandsk politi i sin offisielle uttalelse. “Botnet brukes til cyberangrep, utsendelse av spam og phishing-e-poster, nettsvindel og til å forstyrre nettsteder ved å sende store mengder internettrafikk samtidig.”

NCSC-NL bekreftet omfanget i sin egen kunngjøring: “Etterforskningen avslørte at botnettets infrastruktur besto av minst 17 millioner infiserte enheter, og at de 200 serverene som ble brukt til å hoste infrastrukturen, befant seg i Nederland.”

Nedtakingen kom ikke alene. Asocks-aksjonen er en del av et bredt mønster av intensivert europeisk politiinnsats mot kriminell nettinfrastruktur. Tidligere i 2025 og 2026 hadde myndigheter allerede slått til mot Aisuru/Kimwolf (over 2 millioner enheter), SocksEscort, FirstVPN, IPIDEA og RapperBot. Sammenlignet med disse er Asocks av en helt annen størrelsesorden.

Asocks: Den russiske proxytjenesten bak 17 millioner infiserte enheter

Selv om nederlandske myndigheter ikke navnga botnetoperatøren i sine offisielle uttalelser, rapporterte nederlandske medier, inkludert NL Times, at aksjonen var rettet mot Asocks, et russiskbasert selskap som solgte såkalt “residential proxy”-tjeneste.

Konseptet bak Asocks er enkelt og farlig: selskapet infiserte forbrukerenheter med skadelig programvare og ga betalende kunder tilgang til å rute internetttrafikk gjennom disse enhetene. For nettkriminelle betyr dette at angrep og svindel ser ut til å komme fra vanlige hjemmeforbindelser, ikke fra mistenkelige datasentre som lett kan blokkeres av sikkerhetssystemer.

Asocks markedsførte seg som en legitim tjeneste og tilbød abonnementer fra 5 til 15 dollar per måned, med volumrabatter på fem til femten prosent for større bestillinger. Den tilsynelatende kommersielle fasaden skjulte at millioner av intetanende forbrukere hadde fått enhetene sine kapret som del av kriminell infrastruktur.

Etter at serverene ble beslaglagt, forble Asocks-nettstedet tilgjengelig online. Det er uklart om deler av botnettets infrastruktur overlevde aksjonen, og om operatørene allerede er i gang med å bygge opp igjen fra servere i andre land.

PROXYLIB: Slik ble Android-enheter kapret gjennom legitime apper

En sentral smittevei ble avdekket allerede i april 2024. HUMAN Securitys Satori Threat Intelligence-team identifiserte en kampanje kalt PROXYLIB: et ondsinnet kodebibliotek kalt LumiApps var innebygd i legitime Android-apper for å generere annonseinntekter for utviklere.

Problemet var at LumiApps i det skjulte registrerte brukernes enheter som noder i Asocks proxy-nettverk. Utviklere som integrerte biblioteket for å tjene penger, ga ufrivillig brukerne sine bort som del av et kriminelt botnet.

Forskerne fant 28 apper som inneholdt PROXYLIB-biblioteket, med opptil 190.000 enheter registrert gjennom disse appene alene. Infeksjonsvektoren var særlig farlig fordi den utnyttet tilliten brukerne hadde til tilsynelatende legitime applikasjoner lastet ned fra offisielle kanaler.

Andre infeksjonsvektorer i Asocks-nettverket

PROXYLIB var ikke den eneste veien inn. Asocks-nettverket inkluderte routere, smarte kameraer og IoT-enheter som ble kompromittert gjennom svake standardpassord, utdatert firmware og eksponerte tjenester. Enheter med fabrikantinnstilte brukernavn og passord var spesielt sårbare, siden disse opplysningene er offentlig kjent og det første angriperne forsøker.

Angriperne modifiserte tilgangskontrollister (ACL) for å legge til egne IP-adresser og eksponerte tjenester som SSH, RDP og FTP på ikke-standardiserte porter for å unngå oppdagelse. Disse teknikkene gjenspeiler metoder brukt av statlige aktører, noe som viser at kriminelle aktører aktivt adopterer avanserte taktikker.

Hva botnettene ble brukt til: DDoS, phishing og industriell svindel

Asocks-nettverket ble solgt til et bredt spekter av kriminelle kunder med ulike formål. Nederlandsk politi bekreftet følgende bruksområder:

DDoS-angrep: Overbelastning av nettsteder og tjenester ved å sende enorme mengder trafikk fra tilsynelatende legitime hjemme-IP-adresser, noe som gjør blokkering ekstremt vanskelig.
Phishing: Utsendelse av phishing-e-poster fra IP-adresser knyttet til vanlige forbrukere, som omgår mange e-postfiltre designet for å blokkere kjente ondsinnede adresser.
Nettsvindel: Maskering av svindeloperasjoner ved å la trafikk se ut som den kommer fra geografisk spredte hjemmeforbindelser.
C2-anonymisering: Andre botnet brukte Asocks som et ekstra lag med anonymisering for sine kommando- og kontrolloperasjoner.
Innholdsskraping: Automatisert innhenting av data fra nettsteder i stor skala for konkurransespionasje eller prismanipulasjon.

Modellen er sofistikert nettopp fordi den skiller mellom tjenesteyteren (Asocks) og de faktiske kriminelle brukerne. Dette skapte et ekstra lag av juridisk og teknisk kompleksitet for etterforskningsmyndighetene, som måtte spore både operatørene og kundene.

163 land berørt: Norges og Nordens eksponering

Botnettets 17 millioner infiserte enheter var spredt over 163 land. Nederlandske myndigheter navnga ikke enkeltland i sin offisielle rapport, men Norden er blant regionene med høyest internettdekning og IoT-adopsjon per innbygger i verden, noe som gir statistisk grunn til å anta betydelig nordisk tilstedeværelse i nettverket.

Ifølge DNVs 2026-rapport om nordisk cyberrobusthet ble 21 cyberhendelser registrert mot norske organisasjoner i 2025, sammenlignet med 60 i Sverige, 44 i Finland og 41 i Danmark. Den høye nordiske tilkoblingen kombinert med utbredt bruk av smarte hjemmeenheter gjør forbrukere i regionen til attraktive mål for nettverk som Asocks.

Norge har en av verdens høyeste bredbåndsdekningstall, med nær 100 prosent husholdningsdekning og utbredt bruk av IoT-enheter som smarte høyttalere, smarte TV-er og hjemmeroutere. Alle disse representerer potensielle inngangspunkter for et botnet som Asocks. For norske brukere betyr dette at risikoen ikke er abstrakt: routeren i leiligheten kan allerede ha vært en del av nettverket.

Hva det betyr for norske bedrifter

For norske virksomheter representerer residensielle proxy-botnet en særlig lumsk trussel. Angrep rute gjennom norske hjemme-IP-adresser er langt vanskeligere å oppdage og blokkere enn angrep fra kjente ondsinnede servere. Sikkerhetsverktøy basert på IP-omdømmefiltere vil ikke flagge trafikk fra naboen som mistenkelig.

Phishing-kampanjer rute gjennom Asocks-nettverket ville ha hatt en vesentlig høyere leveringsrate enn typiske spam-kampanjer, og DDoS-angrep mot norske tjenester ville ha vært betydelig vanskeligere å mitigere. Bedrifter som baserer sikkerhet utelukkende på IP-blokklister, har et hull i forsvaret.

Infrastrukturen er nede, men 17 millioner enheter forblir infisert

Den mest kritiske detaljen i denne saken er hva nedtakingen ikke oppnådde: den fjernet ikke skadelig programvare fra de 17 millioner infiserte enhetene. Serverene er beslaglagt, men malwaren sitter fortsatt på routere, telefoner og IoT-gadgets rundt om i verden.

“Infrastrukturen ble demontert; det underliggende problemet ble ikke løst,” konkluderte wespeakiot.com i sin analyse. “Hver enhet forblir kapabel til ny rekruttering av de opprinnelige operatørene som gjenoppbygger nettverket andre steder, eller av helt andre kriminelle aktører som søker etter kjente kompromitterte systemer.”

Dette er ikke et hypotetisk scenario. Historiske presedenser fra nedtakingen av Emotet i 2021 og Qakbot i 2023 viser at operatørene typisk gjenopptar aktivitet innen måneder med ny infrastruktur i andre jurisdiksjoner. 5socks og Anyproxy, to lignende proxy-tjenester nedbygd av FBI i 2025, hadde operert i over 20 år og generert 46 millioner dollar i inntekter, noe som viser at lønnsomheten i denne bransjen er vedvarende.

Sammenligning: De største botnet-nedtakingene i 2025-2026

Asocks-nedtakingen skjer i en periode der myndigheter globalt intensiverer kampen mot botnet-infrastruktur. Tabellen nedenfor viser de viktigste aksjonene i det siste året og setter dem i perspektiv:

Botnet / Tjeneste	Tidspunkt	Infiserte enheter	Myndigheter	Kjente inntekter
Asocks (residensiell proxy)	Mai 2026	17 millioner (163 land)	Nederlandsk Politie + NCSC-NL	Ukjent
5socks og Anyproxy	2025	EOL-routere (20+ år drift)	FBI + internasjonale partnere	46 millioner dollar
Aisuru / Kimwolf	2025-2026	Over 2 millioner	Internasjonalt samarbeid	Ukjent
SocksEscort	2025-2026	Ikke publisert	Internasjonalt samarbeid	Ukjent
IPIDEA	2025-2026	Ikke publisert	Internasjonalt samarbeid	Ukjent
RapperBot	2025-2026	Ikke publisert	Internasjonalt samarbeid	Ukjent

5socks/Anyproxy-saken er spesielt opplysende som historisk kontekst. FBI bekreftet at de to proxy-tjenestene hadde operert i over 20 år med utelukkende hackede routere som hadde nådd end-of-life, og at operatørene tjente 46 millioner dollar på å selge tilgang til disse enhetene. Fire utenlandske statsborgere ble tiltalt. Sammenlignet med Asocks er det tydelig at skalaen på slike operasjoner øker dramatisk.

Tradisjonelle botnet mot residensielle proxy-botnet: En farlig evolusjon

For å forstå Asocks-trusselen fullt ut er det viktig å skille mellom tradisjonelle botnet og residensielle proxy-botnet. De opererer etter fundamentalt ulike forretningsmodeller og skaper ulike sikkerhetsutfordringer:

Egenskap	Tradisjonelt botnet	Residensielt proxy-botnet (Asocks-modell)
Formål	Direkte angrep, spam, kryptomining	Trafikkanonymisering som tjeneste
Primær verdi	Datakraft og båndbredde	Legitim-utseende IP-adresser
Forretningsmodell	Direkte kriminell bruk	Abonnementstjeneste ($5-$15/mnd)
Oppdagbarhet	Høy (kjente ondsinnede IP-er)	Svært lav (vanlige hjemme-IP-er)
Kunder	Botnet-operatøren selv	Tredjepartskriminelle (DDoS, phishing, svindel)
Juridisk kompleksitet	Én aktør å etterforske	Tjenesteyteren og brukerne er adskilte
Blokkering ved kilden	Relativt enkelt	Svært vanskelig uten å blokkere legitime brukere

“Asocks-nedtakingen er ikke primært viktig fordi servere ble beslaglagt, men fordi den eksponerer den moderne kriminelle proxy-bransjen bygget på forbrukerenheter og abonnementsmisbruk,” oppsummerte analytikere hos Ciphers Security i sin vurdering. Den kommersielle modellen er det som gjør trusselen så vanskelig å håndtere: for Asocks-kunder var det en kjøpsavgjørelse, ikke en teknisk handling, å leie proxy-kapasitet.

Konsekvenser for norsk offentlig sektor og kritisk infrastruktur

For norske sikkerhetsansvarlige i offentlig sektor og kritisk infrastruktur byr Asocks-saken på tre konkrete utfordringer.

For det første: IP-omdømmekontroller holder ikke som eneste forsvar. Norske virksomheter som baserer seg på blokklister over kjente ondsinnede adresser for å filtrere phishing og angrep, er ikke beskyttet mot trafikk rute gjennom vanlige norske hjemme-IP-adresser. Sikkerhetsarkitektur må inkludere atferdsbasert analyse og null-tillit-prinsipper i tillegg til perimetersikkerhet.

For det andre: ansatte med infiserte hjemmeenheter representerer en indirekte risiko. Norske virksomheter med utstrakt hjemmearbeid må vurdere at ansattes routere og private enheter kan være del av et botnet, og at dette potensielt kan påvirke virksomhetens sikkerhetsstilling gjennom VPN-forbindelser og fjernaksess.

For det tredje: kommunal infrastruktur er et attraktivt mål. Asocks-kunder som ønsket å gjennomføre DDoS-angrep mot norsk offentlig infrastruktur, kommunale nettsteder eller helsetjenester, ville ha hatt tilgang til norske IP-adresser som gjør angrepet vanskeligere å filtrere. Nasjonal sikkerhetsmyndighet (NSM) har konsekvent advart norske organisasjoner om nettopp denne type skjulte infrastruktur i sine annual threat assessments.

NCSC-NLs anbefalinger: Hva du bør gjøre nå

NCSC-NL publiserte en konkret liste med mottiltak i forbindelse med kunngjøringen av nedtakingen. Anbefalingene er direkte relevante for norske forbrukere og bedrifter:

Oppdater alle operativsystemer, router-firmware og appprogramvare umiddelbart. De fleste infeksjoner utnytter kjente sårbarheter i utdatert programvare som produsenten allerede har patchet.
Oppretthold synlighet over alle “edge devices”, det vil si alle internettvendte endepunkter i nettverket, fra routere og kameraer til industrielle gateways.
Bruk sterke, unike passord på alle enheter og kontoer. Gjenbrukte passord er en av de vanligste inngangspunktene.
Aktiver tofaktorautentisering der enheten støtter det.
Endre standardopplysninger umiddelbart etter at en ny enhet er satt opp. Fabrikantens standardpassord er offentlig tilgjengelige og alltid de første angriperne tester.
Sikre Wi-Fi-nettverk med minimum WPA2 eller WPA3. Eldre krypteringsstandarder er kompromittert og bør ikke brukes.
Installer kun apper fra verifiserte, klarerte kilder og gjennomgå apper med unødvendige tillatelser jevnlig.

For bedrifter anbefaler sikkerhetseksperter i tillegg nettverkssegmentering slik at IoT-enheter holdes atskilt fra kritisk forretningsinfrastruktur. En kompromittert smart kaffemaskin bør ikke ha nettverkstilgang til selskapets regnskapssystem eller Active Directory-miljøet.

EU-lovgivning: NIS2 og Cyber Resilience Act

Asocks-saken kommer på et tidspunkt der EUs to viktigste cybersikkerhetsregelverker er under implementering i hele Europa, inkludert i Norge gjennom EØS-tilpasning.

NIS2-direktivet, som i Norge implementeres gjennom den nye digitalsikkerhetsloven, pålegger virksomheter i kritiske sektorer strengere krav til risikobehandling, hendelsesrapportering og leverandørsikkerhet. Botnet som Asocks er nettopp den type infrastruktur NIS2 søker å gjøre det vanskeligere å bygge og operere, ved å kreve at alle relevante aktører implementerer grunnleggende sikkerhetshygiene og rapporterer hendelser innen 24 timer.

Cyber Resilience Act (CRA), som trer i kraft i EU fra 2027, stiller direkte krav til produsenter av tilkoblede produkter. Routere, smarte kameraer og IoT-enheter vil måtte oppfylle minimumssikkerhetskrav, inkludert forbud mot standardpassord og krav om regelmessige sikkerhetsoppdateringer. Analyster anslår at andelen sårbare IoT-enheter vil falle med 40 til 60 prosent innen 2030 som direkte følge av CRA-krav, noe som vil tørke opp en vesentlig del av rekrutteringsgrunnlaget for botnet som Asocks.

NSM i Norge har i sine sikkerhetsfaglige råd for 2026 spesifikt fremhevet risikoen fra kompromitterte nettverksenheter og oppmuntret norske organisasjoner til å implementere null-tillit-arkitektur og sterkere segmentering. Asocks-saken gir disse rådene konkret og presserende kontekst.

5 spådommer om residensielle proxy-botnet fremover

Basert på tilgjengelige data og ekspertanalyser gir Asocks-saken grunn til følgende vurderinger om den nære fremtiden:

Asocks gjenoppstår med ny infrastruktur. Historiske presedenser fra Emotet, Qakbot og Trickbot viser at botnet-operatørene typisk er tilbake innen måneder med servere i jurisdiksjoner utenfor EUs rekkevidde. De 17 millioner infiserte enhetene venter på ny rekruttering, og det kommersielle grunnlaget for tjenesten er intakt.
Copycat-tjenester fyller tomrommet raskt. Asocks-nedtakingen fjerner ett tilbud i et marked med vedvarende kriminell etterspørsel. Konkurrenter vil forsøke å kapre kundebasen. Residensielle proxy-tjenester er en vekstbransje i det kriminelle undergrunnsøkonomien.
Android-apper forblir en kritisk angrepsvektor. PROXYLIB-kampanjens suksess med å infiltrere legitime apper viser at appbutikker ikke kan garantere sikkerhet mot sofistikerte proxy-biblioteker. Forvent nye varianter rettet mot iOS og andre plattformer, med mer avanserte teknikker for å unngå oppdagelse.
Europeiske myndigheter intensiverer koordinerte botnet-aksjoner. Asocks-nedtakingen følger et mønster av økt europeisk samarbeid mot kriminell nettinfrastruktur. Europol og Eurojust er involvert i stadig flere slike operasjoner, og presset fra NIS2-implementeringen gir ytterligere politisk impuls for hyppigere aksjoner.
CRA-implementeringen vil redusere fremtidig IoT-infeksjon merkbart. Når Cyber Resilience Act er fullt håndhevet, vil produsenter av routere og IoT-enheter møte juridisk ansvar for grunnleggende sikkerhetsfeil som standardpassord og manglende patchsupport. Effekten vil ikke komme over natten, men innen 2030 bør den kriminelle proxy-bransjen finne det vesentlig vanskeligere å rekruttere nye enheter i Europa.

Slik sjekker og sikrer du enheten din nå

Det finnes ingen enkel måte for vanlige brukere å bekrefte om en bestemt enhet var del av Asocks-nettverket, men det finnes konkrete steg som fjerner skadelig programvare eller drastisk reduserer risikoen for fremtidig kompromittering.

For hjemmeroutere og IoT-enheter

Fabrikkinnstilling (factory reset) av routeren fjerner all skadelig programvare som er installert i vanlig lagring. Etter reset: oppdater firmware til siste versjon, endre standardpassord til et unikt passord på minst 16 tegn, deaktiver fjernadministrasjon (remote management) om du ikke trenger det, og aktiver automatiske firmwareoppdateringer der det er tilgjengelig. Routere som har nådd end-of-life og ikke lenger mottar sikkerhetsoppdateringer bør byttes ut. En router fra 2017 uten aktiv oppdateringsstøtte er en latent sikkerhetsrisiko.

For Android-enheter

Gjennomgå installerte apper og fjern alle du ikke aktivt bruker. Se spesielt etter apper lastet ned fra ukjente kilder eller tredjepartsbutikker. Sjekk tillatelsene til alle apper: en enkel verktøyapp som ber om full nettverkstilgang og bakgrunnsaktivitet uten åpenbar grunn, er et rødt flagg. Kjør en gjennomgang med Googles Play Protect, hold Android oppdatert med de nyeste sikkerhetsoppdateringene, og vurder å tilbakestille enheten til fabrikkinnstillinger om du har installert apper fra ukjente kilder.

Relatert dekning

For mer kontekst om trusselbildet mot Norge og Norden:

Ofte stilte spørsmål om Asocks-botnettet

Hva er et residensielt proxy-botnet?

Et residensielt proxy-botnet er et nettverk av kompromitterte forbrukerenheter, for eksempel hjemmeroutere, smarttelefoner og IoT-enheter, som kriminelle bruker til å rute internetttrafikk gjennom. Fordi trafikken ser ut til å komme fra vanlige hjemme-IP-adresser, er den langt vanskeligere å oppdage og blokkere enn trafikk fra kjente ondsinnede servere.

Var norske enheter del av Asocks-botnettets 17 millioner?

Nederlandske myndigheter bekreftet at de 17 millioner infiserte enhetene var spredt over 163 land. Norge er ikke eksplisitt nevnt i offisielle uttalelser, men med Nordens høye internettdekning og utbredte IoT-bruk er det statistisk sannsynlig at norske enheter var inkludert. Det foreligger ingen offentlig liste over berørte land eller spesifikke enheter.

Hva skjedde med de 17 millioner infiserte enhetene etter nedtakingen?

Nedtakingen fjernet Asocks’ kontrollservere, men ikke skadelig programvare fra de infiserte enhetene. Alle 17 millioner enheter forblir infisert og er potensielt tilgjengelige for ny rekruttering. Eiere av berørte enheter må selv ta grep, blant annet ved å tilbakestille routere til fabrikkinnstillinger, oppdatere firmware og endre passord.

Hva er PROXYLIB-kampanjen?

PROXYLIB er et ondsinnet kodebibliotek identifisert av HUMAN Security i april 2024. Det ble innebygd i legitime Android-apper gjennom monetiseringsverktøyet LumiApps og registrerte brukernes enheter i Asocks proxy-nettverk uten deres viten. Til sammen 28 apper med opptil 190.000 berørte enheter ble funnet. Etter Asocks-nedtakingen er disse enhetene fortsatt infisert og sårbare for ny rekruttering.

Hvem stod bak Asocks og ble noen arrestert?

Nederlandske myndigheter navnga ikke Asocks offisielt, men nederlandske medier knyttet nedtakingen til selskapet, som er basert i Russland og tilbyr residential proxy-tjenester. Per juni 2026 er det ikke rapportert om arrestasjoner i forbindelse med Asocks-aksjonen. Serverene ble beslaglagt, men operatørene er ikke identifisert offentlig.

Hva er forskjellen mellom Asocks og 5socks/Anyproxy?

5socks og Anyproxy opererte i over 20 år og genererte 46 millioner dollar ved å selge tilgang til hackede end-of-life hjemmeroutere. Fire utenlandske statsborgere ble tiltalt av FBI i 2025. Asocks er større i skala med 17 millioner enheter på tvers av 163 land og brukte mer sofistikerte infeksjonsvektorer, inkludert injeksjon via legitime Android-apper. Begge illustrerer hvordan kriminelle kommersielt utnytter hverdagsenheter som inntektsbringende infrastruktur.

Hva bør norske bedrifter gjøre som respons?

Norske bedrifter bør vurdere tre umiddelbare tiltak: (1) Gjennomgå alle nettverksenheter, inkludert routere og IoT-utstyr, og sikre at de kjører oppdatert firmware og har unike passord. (2) Segmenter nettverket slik at IoT-enheter og hjemmearbeid-VPN-er ikke har direkte tilgang til kritiske systemer. (3) Revurder IP-baserte sikkerhetskontroller som eneste forsvarslinje mot phishing og DDoS, da residensielle proxy-botnet effektivt omgår IP-blokklister.

Asocks-botnettet nedtatt: 17 millioner enheter i 163 land [2026]