Masivní botnet NetNut odhalen: Do kybernetických útoků bylo zataženo přes 2 miliony spotřebičů z domácností

Dne 2. července 2026 oznámila Threat Intelligence Group společnosti Google (GTIG), že ve spolupráci s FBI a Lumen Technologies a dalšími partnery výrazně omezila fungování sítě rezidenčních proxy NetNut (uvnitř označované také jako Popa) . Tato koordinovaná akce zasáhla jeden z největších známých botnetů, který z obyčejných domácích spotřebičů činil součást globálního kriminálního relay systému.

Google provedl tři konkrétní kroky:

• Deaktivoval účty a služby používané pro velení a řízení (C2) malwaru spojeného s NetNut .
• Sdílel technické informace s policií, včetně podrobností o softwarovém vývojovém kitu (SDK) NetNut a jeho backendové infrastruktuře .
• Nasadil Google Play Protect, který automaticky detekuje, varuje uživatele a zakazuje aplikace obsahující proxy kód NetNut .

Kromě toho FBI zabavila stovky domén spojených s NetNut a infrastrukturou botnetu Popa . Domovská stránka NetNut byla nahrazena oznámením o zabavení .

Rozsah: Nejméně 2 miliony zařízení a stále roste

• Nejméně 2 miliony spotřebitelských zařízení po celém světě bylo zneužito k routování provozu přes IP adresy v domácnostech – včetně smart TV, Android streamovacích boxů, telefonů a tabletů .
• Výzkumníci ze společností Synthient, Qurium a Nokia Deepfield spojili botnet Popa – fungující zhruba čtyři roky – přímo s NetNut a jeho veřejně obchodovanou mateřskou společností Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield odhadovala, že síť zahrnovala až 60 000 zařízení na jeden relay uzel a při vrcholu využívala 359 000 různých IP adres . Některé odhady celkového množství infikovaných zařízení se pohybovaly od 9 do 26 milionů .
• Jen v květnu 2026 bylo více než 1,4 milionu internetových adres zasaženo provozem scrapování dat routovaným přes NetNut .

316 zločineckých subjektů během jediného týdne

Během jediného týdne monitoringu detekovala Google Threat Intelligence Group 316 různých zločineckých subjektů, které routovaly svůj škodlivý provoz přes infrastrukturu NetNut . Šlo o:

• Reklamní podvody
• Útoky na uživatelské účty a krádeže přihlašovacích údajů
• Masivní operace scrapování dat
• Phishingové kampaně
• Relay pro velení a řízení malwaru

Jak se domácí zařízení stávají součástí sítě

Google a výzkumníci identifikovali dva hlavní způsoby infekce:

1. Předinstalovaný malware – Levné Android TV boxy a streamovací zařízení od určitých výrobců přicházejí již s malwarem Popa/Vo1d přímo ve firmwaru .
2. Skrytý proxy kód v aplikacích – Zdánlivě legitimní aplikace z Google Play nebo z třetích stran tajně obsahovaly proxy SDK NetNut, který zařízení bez vědomí uživatele zaregistroval jako relay uzel. Google Play Protect sloužil k detekci a blokování těchto aplikací . Bezpečnostní výzkumníci našli kód v mnoha pirátských streamovacích aplikacích, torrent klientu MediaGet, VPN službě RoboVPN a v Android TV YouTube klientu SmartTube .

Varování Googlu pro spotřebitele

Google varoval uživatele, aby se vyhýbali aplikacím, které nabízejí platbu za nevyužitou šířku pásma nebo tvrdí, že „sdílejí vaše internetové připojení za odměnu“, protože se jedná o běžnou návnadu pro zapojení do rezidenčních proxy sítí . Spotřebitelům bylo doporučeno udržovat zařízení aktualizovaná, vyhýbat se levným Android TV boxům od neznámých výrobců a kontrolovat, které aplikace mají přístup k síti.

Souvislost s širším ekosystémem botnetů

Botnet Popa využíval malware odvozený z rodiny Vo1d/Mzmess, která má společné kořeny s variantami botnetu Mirai zaměřenými na Android IoT zařízení . Botnet Aisuru, botnet třídy Mirai/TurboMirai, byl v tomto období rovněž pozorován při přechodu od DDoS útoků k modelům rezidenčních proxy, což poukazuje na celoodvětvový trend . Varianta OMG Mirai, poprvé zdokumentovaná v roce 2018, podobně přeměňovala IoT zařízení na proxy servery .

Souvislosti: Pokračující kampaň proti sítím rezidenčních proxy

Tato akce přímo navazuje na zásah Googlu proti síti rezidenčních proxy IPIDEA z 28. ledna 2026, která byla v té době jednou z největších . Při této operaci Google odstranil domény a účty, které IPIDEA používala k routování provozu pro kyberzločince a státem podporované útočníky . Google tehdy zhodnotil – a v červenci to zopakoval – že celé odvětví rezidenčních proxy zůstává hluboce propojeno s ekosystémem kyberkriminality a že špičkové služby jako NetNut, LunaProxy, 711Proxy a 922Proxy provozují každá přes 1 milion výstupních uzlů . Zásah proti NetNut byl součástí probíhající kampaně, která zahrnovala také narušení sítě SocksEscort v březnu 2026 a odstavení phishingové sítě „Outsider“ v červnu 2026 .

Společnost Alarum Technologies vydala 2. července 2026 prohlášení, že bude „plně spolupracovat s orgány činnými v trestním řízení, aby bylo zajištěno důkladné prošetření veškerého zneužití její infrastruktury“ .