تفكيك شبكة NetNut: كيف تعاونت غوغل ومكتب التحقيقات الفيدرالي وLumen لتعطيل شبكة بروكسي ضخمة استغلت 2 مليون جهاز حول العالم

في الثاني من يوليو 2026، أعلن فريق استخبارات التهديدات في غوغل (GTIG) عن تقويض كبير لشبكة البروكسي السكنية NetNut (المعروفة داخليًا أيضًا باسم Popa)، وذلك بالتعاون مع مكتب التحقيقات الفيدرالي (FBI) و Lumen Technologies، بالإضافة إلى شركاء آخرين في القطاع . استهدفت هذه العملية المنسقة واحدة من أكبر شبكات البوت نت المعروفة التي تجند الأجهزة الإلكترونية المنزلية العادية في نظام عالمي لترحيل الجرائم الإلكترونية.

اتخذت غوغل ثلاث خطوات ملموسة:

• تعطيل الحسابات والخدمات المستخدمة في عمليات القيادة والتحكم (C2) المتعلقة ببرمجيات NetNut الخبيثة .
• مشاركة المعلومات الاستخباراتية التقنية مع سلطات إنفاذ القانون، بما في ذلك تفاصيل حول مجموعة أدوات تطوير البرامج (SDK) والبنية التحتية الخلفية لشبكة NetNut .
• نشر Google Play Protect للكشف التلقائي عن التطبيقات التي تدمج كود بروكسي NetNut وتحذير المستخدمين منها وتعطيلها .

بشكل منفصل، صادر مكتب التحقيقات الفيدرالي مئات النطاقات المرتبطة بشبكة NetNut والبنية التحتية لبوت نت Popa . كما استبدل مكتب التحقيقات الفيدرالي الصفحة الرئيسية لشبكة NetNut بإشعار مصادرة .

الحجم: ما لا يقل عن 2 مليون جهاز وفي ازدياد

• تم اختطاف ما لا يقل عن 2 مليون جهاز استهلاكي في جميع أنحاء العالم لتوجيه حركة المرور عبر عناوين IP سكنية، بما في ذلك أجهزة التلفزيون الذكية، وصناديق Android TV، والهواتف، والأجهزة اللوحية .
• ربط باحثون من Synthient وQurium وNokia Deepfield بوت نت Popa — الذي كان يعمل لنحو أربع سنوات — مباشرة بشبكة NetNut وشركتها الأم المدرجة في البورصة Alarum Technologies (رمزها في بورصة ناسداك: ALAR) .
• قدرت Nokia Deepfield أن الشبكة تضم ما يصل إلى 60,000 جهاز لكل عقدة ترحيل عبر 359,000 عنوان IP متميز في ذروتها . تراوحت تقديرات إجمالي الأجهزة المصابة بين 9 و26 مليون جهاز .
• في مايو 2026 وحده، تعرض أكثر من 1.4 مليون عنوان إنترنت لحركة مرور تجميع البيانات التي تم توجيهها عبر NetNut .

316 مجموعة تهديد في أسبوع واحد

في أسبوع واحد من المراقبة، اكتشف فريق استخبارات التهديدات في غوغل 316 مجموعة تهديد متميزة تقوم بتوجيه حركة المرور الخبيثة عبر البنية التحتية لبروكسي NetNut . وشملت هذه:

• الاحتيال الإعلاني
• هجمات حشو بيانات الاعتماد والاستيلاء على الحسابات
• عمليات تجميع ضخمة للبيانات
• حملات التصيد الاحتيالي
• ترحيل القيادة والتحكم للبرمجيات الخبيثة

كيف تصبح الأجهزة المنزلية جزءًا من الشبكة

حددت غوغل والباحثون طريقتين رئيسيتين للإصابة:

1. البرمجيات الخبيثة المثبتة مسبقًا — صناديق Android TV وأجهزة البث منخفضة التكلفة التي يتم شحنها من بعض الشركات المصنعة مع برمجيات Popa/Vo1d الخبيثة للبروكسي المضمنة بالفعل في البرامج الثابتة .
2. كود بروكسي مخفي في التطبيقات — التطبيقات التي تبدو شرعية على Google Play أو المتاجر التابعة لجهات خارجية تحتوي سرًا على SDK الخاص بشبكة NetNut، والذي يقوم بتسجيل الجهاز كعقدة ترحيل بصمت دون علم المستخدم. تم استخدام Google Play Protect للكشف عن هذه التطبيقات وتعطيلها . وجد باحثون أمنيون الكود في العديد من تطبيقات البث المقرصنة، وعميل التورنت MediaGet، وخدمة VPN RoboVPN، وعميل YouTube لأجهزة Android TV SmartTube .

تحذير غوغل للمستهلكين

حذرت غوغل المستخدمين من تجنب التطبيقات التي تقدم دفعة مالية مقابل النطاق الترددي غير المستخدم أو تدّعي "مشاركة اتصالك بالإنترنت مقابل مكافآت"، لأن هذه هي حصان طروادة الشائع للتسجيل في شبكات البروكسي السكنية . ونُصح المستهلكون بالحفاظ على تحديث أجهزتهم، وتجنب صناديق Android TV الرخيصة غير المعروفة من بائعين غير موثوقين، والتحقق من التطبيقات التي لديها أذونات الشبكة.

الصلة بالنظام البيئي الأوسع للبوت نت

استخدم بوت نت Popa برمجيات خبيثة مشتقة من عائلة Vo1d/Mzmess، والتي تشترك في السلالة مع سلالات بوت نت Mirai التي تستهدف أجهزة إنترنت الأشياء (IoT) التي تعمل بنظام Android . كما لوحظ أن بوت نت Aisuru، وهو بوت نت من فئة Mirai/TurboMirai لإنترنت الأشياء، يتحول من هجمات حجب الخدمة الموزعة (DDoS) إلى نماذج البروكسي السكنية خلال هذه الفترة، مما يسلط الضوء على تحول على مستوى القطاع . وقد تم توثيق سلالة OMG Mirai، التي تم اكتشافها لأول مرة في عام 2018، وهي تحول أجهزة إنترنت الأشياء إلى خوادم بروكسي .

السياق: حملة مستمرة ضد شبكات البروكسي السكنية

تستند هذه العملية مباشرة إلى عملية تفكيك شبكة البروكسي السكنية IPIDEA التي نفذتها غوغل في 28 يناير 2026، والتي كانت واحدة من أكبر هذه الشبكات على مستوى العالم في ذلك الوقت . في تلك العملية، قضت غوغل على النطاقات والحسابات التي تستخدمها IPIDEA لتوجيه حركة المرور للمجرمين الإلكترونيين والمهاجمين المدعومين من الدول . قدرت غوغل آنذاك — وأكدت مرة أخرى في يوليو — أن صناعة البروكسي السكنية الأوسع لا تزال على صلة وثيقة بالأنظمة البيئية للجريمة الإلكترونية، مع خدمات كبرى مثل NetNut وLunaProxy و711Proxy و922Proxy، يدير كل منها أكثر من مليون عقدة خروج . كانت عملية تفكيك NetNut جزءًا من حملة مستمرة تضمنت أيضًا تفكيك SocksEscort في مارس 2026 وإسقاط شبكة التصيد "Outsider" في يونيو 2026 .

أصدرت شركة Alarum Technologies بيانًا في 2 يوليو 2026 قالت فيه إنها "ستتعاون بشكل كامل مع سلطات إنفاذ القانون لضمان التحقيق الشامل في أي إساءة استخدام لبنيتها التحتية" .