Den 28. mai 2026 gjennomf\u00f8rte nederlandsk politi og Nasjonal sikkerhets- og krisereduksjonssenter (NCSC-NL) en av de st\u00f8rste botnet-nedtakingene i historien. Politiet beslagla over 200 kommando- og kontrollservere fra en nederlandsk hostingleverand\u00f8r og kuttet infrastrukturen bak Asocks, en russiskbasert proxytjeneste som hadde infisert minst 17 millioner enheter i 163 land. Botnettets servere er borte, men enhetene er fortsatt infisert og kan rekrutteres p\u00e5 nytt.<\/p>\n\n\n\n
Nedtakingen avdekker noe viktigere enn en enkelt kriminell operasjon: den eksponerer en voksende bransje der nettkriminelle selger tilgang til kaprede forbrukerenheter som abonnementstjeneste, for s\u00e5 lite som 5 dollar per m\u00e5ned. Routere, smarttelefoner, nettbrett og smarte kameraer i norske hjem kan inng\u00e5 i slike nettverk uten at eierne aner det.<\/p>\n\n\n\n
Operasjonen ble annonsert 28. mai 2026 etter m\u00e5neder med etterforskning. En privat sikkerhetsetterforsker varslet NCSC-NL om botnettets eksistens. Senteret videresendte tipset til politiets cyberenhet, som gjennomf\u00f8rte en koordinert razzia mot en nederlandsk hostingleverand\u00f8r.<\/p>\n\n\n\n
Resultatet var enest\u00e5ende: politiet beslagla et utvalg av de over 200 serverene for etterforskning, og leverand\u00f8ren tok resten av infrastrukturen offline etter \u00e5 ha konstatert at den ble brukt til kriminell virksomhet. Nederlandsk politi beskriver aksjonen som en av de st\u00f8rste forstyrringene av skadelig programvare noensinne.<\/p>\n\n\n\n
“Kriminelle kan fjernstyre enhetene, ofte uten at eieren merker det,” sa nederlandsk politi i sin offisielle uttalelse. “Botnet brukes til cyberangrep, utsendelse av spam og phishing-e-poster, nettsvindel og til \u00e5 forstyrre nettsteder ved \u00e5 sende store mengder internettrafikk samtidig.”<\/p>\n\n\n\n
NCSC-NL bekreftet omfanget i sin egen kunngj\u00f8ring: “Etterforskningen avsl\u00f8rte at botnettets infrastruktur besto av minst 17 millioner infiserte enheter, og at de 200 serverene som ble brukt til \u00e5 hoste infrastrukturen, befant seg i Nederland.”<\/p>\n\n\n\n
Nedtakingen kom ikke alene. Asocks-aksjonen er en del av et bredt m\u00f8nster av intensivert europeisk politiinnsats mot kriminell nettinfrastruktur. Tidligere i 2025 og 2026 hadde myndigheter allerede sl\u00e5tt til mot Aisuru\/Kimwolf (over 2 millioner enheter), SocksEscort, FirstVPN, IPIDEA og RapperBot. Sammenlignet med disse er Asocks av en helt annen st\u00f8rrelsesorden.<\/p>\n\n\n\n
Selv om nederlandske myndigheter ikke navnga botnetoperat\u00f8ren i sine offisielle uttalelser, rapporterte nederlandske medier, inkludert NL Times, at aksjonen var rettet mot Asocks, et russiskbasert selskap som solgte s\u00e5kalt “residential proxy”-tjeneste.<\/p>\n\n\n\n
Konseptet bak Asocks er enkelt og farlig: selskapet infiserte forbrukerenheter med skadelig programvare og ga betalende kunder tilgang til \u00e5 rute internetttrafikk gjennom disse enhetene. For nettkriminelle betyr dette at angrep og svindel ser ut til \u00e5 komme fra vanlige hjemmeforbindelser, ikke fra mistenkelige datasentre som lett kan blokkeres av sikkerhetssystemer.<\/p>\n\n\n\n
Asocks markedsf\u00f8rte seg som en legitim tjeneste og tilb\u00f8d abonnementer fra 5 til 15 dollar per m\u00e5ned, med volumrabatter p\u00e5 fem til femten prosent for st\u00f8rre bestillinger. Den tilsynelatende kommersielle fasaden skjulte at millioner av intetanende forbrukere hadde f\u00e5tt enhetene sine kapret som del av kriminell infrastruktur.<\/p>\n\n\n\n
Etter at serverene ble beslaglagt, forble Asocks-nettstedet tilgjengelig online. Det er uklart om deler av botnettets infrastruktur overlevde aksjonen, og om operat\u00f8rene allerede er i gang med \u00e5 bygge opp igjen fra servere i andre land.<\/p>\n\n\n\n
En sentral smittevei ble avdekket allerede i april 2024. HUMAN Securitys Satori Threat Intelligence-team identifiserte en kampanje kalt PROXYLIB: et ondsinnet kodebibliotek kalt LumiApps var innebygd i legitime Android-apper for \u00e5 generere annonseinntekter for utviklere.<\/p>\n\n\n\n
Problemet var at LumiApps i det skjulte registrerte brukernes enheter som noder i Asocks proxy-nettverk. Utviklere som integrerte biblioteket for \u00e5 tjene penger, ga ufrivillig brukerne sine bort som del av et kriminelt botnet.<\/p>\n\n\n\n
Forskerne fant 28 apper som inneholdt PROXYLIB-biblioteket, med opptil 190.000 enheter registrert gjennom disse appene alene. Infeksjonsvektoren var s\u00e6rlig farlig fordi den utnyttet tilliten brukerne hadde til tilsynelatende legitime applikasjoner lastet ned fra offisielle kanaler.<\/p>\n\n\n\n
PROXYLIB var ikke den eneste veien inn. Asocks-nettverket inkluderte routere, smarte kameraer og IoT-enheter som ble kompromittert gjennom svake standardpassord, utdatert firmware og eksponerte tjenester. Enheter med fabrikantinnstilte brukernavn og passord var spesielt s\u00e5rbare, siden disse opplysningene er offentlig kjent og det f\u00f8rste angriperne fors\u00f8ker.<\/p>\n\n\n\n
Angriperne modifiserte tilgangskontrollister (ACL) for \u00e5 legge til egne IP-adresser og eksponerte tjenester som SSH, RDP og FTP p\u00e5 ikke-standardiserte porter for \u00e5 unng\u00e5 oppdagelse. Disse teknikkene gjenspeiler metoder brukt av statlige akt\u00f8rer, noe som viser at kriminelle akt\u00f8rer aktivt adopterer avanserte taktikker.<\/p>\n\n\n\n
Asocks-nettverket ble solgt til et bredt spekter av kriminelle kunder med ulike form\u00e5l. Nederlandsk politi bekreftet f\u00f8lgende bruksomr\u00e5der:<\/p>\n\n\n\n
Modellen er sofistikert nettopp fordi den skiller mellom tjenesteyteren (Asocks) og de faktiske kriminelle brukerne. Dette skapte et ekstra lag av juridisk og teknisk kompleksitet for etterforskningsmyndighetene, som m\u00e5tte spore b\u00e5de operat\u00f8rene og kundene.<\/p>\n\n\n\n
Botnettets 17 millioner infiserte enheter var spredt over 163 land. Nederlandske myndigheter navnga ikke enkeltland i sin offisielle rapport, men Norden er blant regionene med h\u00f8yest internettdekning og IoT-adopsjon per innbygger i verden, noe som gir statistisk grunn til \u00e5 anta betydelig nordisk tilstedev\u00e6relse i nettverket.<\/p>\n\n\n\n
If\u00f8lge DNVs 2026-rapport om nordisk cyberrobusthet ble 21 cyberhendelser registrert mot norske organisasjoner i 2025, sammenlignet med 60 i Sverige, 44 i Finland og 41 i Danmark. Den h\u00f8ye nordiske tilkoblingen kombinert med utbredt bruk av smarte hjemmeenheter gj\u00f8r forbrukere i regionen til attraktive m\u00e5l for nettverk som Asocks.<\/p>\n\n\n\n
Norge har en av verdens h\u00f8yeste bredb\u00e5ndsdekningstall, med n\u00e6r 100 prosent husholdningsdekning og utbredt bruk av IoT-enheter som smarte h\u00f8yttalere, smarte TV-er og hjemmeroutere. Alle disse representerer potensielle inngangspunkter for et botnet som Asocks. For norske brukere betyr dette at risikoen ikke er abstrakt: routeren i leiligheten kan allerede ha v\u00e6rt en del av nettverket.<\/p>\n\n\n\n
For norske virksomheter representerer residensielle proxy-botnet en s\u00e6rlig lumsk trussel. Angrep rute gjennom norske hjemme-IP-adresser er langt vanskeligere \u00e5 oppdage og blokkere enn angrep fra kjente ondsinnede servere. Sikkerhetsverkt\u00f8y basert p\u00e5 IP-omd\u00f8mmefiltere vil ikke flagge trafikk fra naboen som mistenkelig.<\/p>\n\n\n\n
Phishing-kampanjer rute gjennom Asocks-nettverket ville ha hatt en vesentlig h\u00f8yere leveringsrate enn typiske spam-kampanjer, og DDoS-angrep mot norske tjenester ville ha v\u00e6rt betydelig vanskeligere \u00e5 mitigere. Bedrifter som baserer sikkerhet utelukkende p\u00e5 IP-blokklister, har et hull i forsvaret.<\/p>\n\n\n\n
Den mest kritiske detaljen i denne saken er hva nedtakingen ikke oppn\u00e5dde: den fjernet ikke skadelig programvare fra de 17 millioner infiserte enhetene. Serverene er beslaglagt, men malwaren sitter fortsatt p\u00e5 routere, telefoner og IoT-gadgets rundt om i verden.<\/p>\n\n\n\n
“Infrastrukturen ble demontert; det underliggende problemet ble ikke l\u00f8st,” konkluderte wespeakiot.com i sin analyse. “Hver enhet forblir kapabel til ny rekruttering av de opprinnelige operat\u00f8rene som gjenoppbygger nettverket andre steder, eller av helt andre kriminelle akt\u00f8rer som s\u00f8ker etter kjente kompromitterte systemer.”<\/p>\n\n\n\n
Dette er ikke et hypotetisk scenario. Historiske presedenser fra nedtakingen av Emotet i 2021 og Qakbot i 2023 viser at operat\u00f8rene typisk gjenopptar aktivitet innen m\u00e5neder med ny infrastruktur i andre jurisdiksjoner. 5socks og Anyproxy, to lignende proxy-tjenester nedbygd av FBI i 2025, hadde operert i over 20 \u00e5r og generert 46 millioner dollar i inntekter, noe som viser at l\u00f8nnsomheten i denne bransjen er vedvarende.<\/p>\n\n\n\n
Asocks-nedtakingen skjer i en periode der myndigheter globalt intensiverer kampen mot botnet-infrastruktur. Tabellen nedenfor viser de viktigste aksjonene i det siste \u00e5ret og setter dem i perspektiv:<\/p>\n\n\n\n