Google, FBI og Lumen nedlægger NetNut-botnet: 2 millioner kaprede enheder afsløret

Den 2. juli 2026 annoncerede Googles Threat Intelligence Group (GTIG), at de i et koordineret samarbejde med FBI og Lumen Technologies havde svækket NetNut-netværket (også kendt som Popa) betydeligt . Aktionen ramte et af de største kendte botnets, der rekrutterede almindelige hjemmeelektronik til et globalt kriminelt relay-system.

Google tog tre konkrete skridt:

• Deaktiverede konti og tjenester brugt til NetNut-relateret malware-kommando-og-kontrol (C2) .
• Delte tekniske efterretninger med politiet, herunder detaljer om NetNuts SDK og backend-infrastruktur .
• Implementerede Google Play Protect til automatisk at opdage, advare brugere og deaktivere apps, der integrerede NetNuts proxy-kode .

Derudover beslaglagde FBI hundredvis af domæner tilknyttet NetNut og Popa-botnettet . FBI erstattede også NetNuts hjemmeside med en beslaglæggelsesmeddelelse .

Omfanget: Mindst 2 millioner enheder og voksende

• Mindst 2 millioner forbrugerenheder verden over var kapret til at route trafik gennem private IP-adresser, herunder smart-TVer, Android-bokse, telefoner og tablets .
• Forskere fra Synthient, Qurium og Nokia Deepfield kædede Popa-botnettet – der havde været aktivt i omkring fire år – direkte til NetNut og dets børsnoterede moderselskab Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield vurderede, at netværket på sit højdepunkt involverede op til 60.000 enheder per relay-node fordelt på 359.000 unikke IP-adresser . Nogle estimater for det samlede inficerede antal enheder lå på mellem 9 og 26 millioner .
• Alene i maj 2026 blev mere end 1,4 millioner internetadresser ramt af data-skrabningstrafik routet gennem NetNut .

316 trusselsklynger på én uge

På en enkelt uge opdagede Googles Threat Intelligence Group 316 forskellige trusselsklynger, der routede ondsindet trafik gennem NetNuts proxy-infrastruktur . Disse omfattede:

• Annoncesvindel
• Credential stuffing og kontoovertagelser
• Masseindsamling af data
• Phishing-kampagner
• Malware C2-relay

Sådan bliver hjemmeenheder en del af netværket

Google og forskere identificerede to primære infektionsmetoder:

1. Præinstalleret malware – Billige Android TV-bokse og streaming-enheder leveret fra visse producenter med Popa/Vo1d-proxy-malware allerede indlejret i firmwaren .
2. Skjult proxy-kode i apps – Tilsyneladende legitime apps på Google Play eller tredjepartsbutikker indeholdt i hemmelighed NetNuts proxy-SDK, som lydløst tilmeldte enheden som et relay-node uden brugerens vidende. Google Play Protect blev brugt til at opdage og deaktivere disse apps . Sikkerhedsforskere fandt koden i talrige piratkopierede streaming-apps, torrent-klienten MediaGet, VPN-tjenesten RoboVPN og Android TV YouTube-klienten SmartTube .

Googles advarsel til forbrugerne

Google advarede brugere mod at downloade apps, der tilbyder betaling for ubrugt båndbredde eller påstår at "del din internetforbindelse for belønninger", da dette er en almindelig trojansk hest for tilmelding til residential proxy-netværk . Forbrugerne blev rådet til at holde enheder opdaterede, undgå billige, umærkede Android TV-bokse fra ukendte forhandlere og tjekke, hvilke apps der har netværksadgang.

Forbindelse til det bredere botnet-økosystem

Popa-botnettet brugte malware afledt af Vo1d/Mzmess-familien, der deler ophav med Mirai-botnet-varianter rettet mod Android-baserede IoT-enheder . Aisuru-botnettet, et Mirai/TurboMirai-klasse IoT-botnet, blev også observeret, da det skiftede fra DDoS-angreb til residential proxy-modeller i denne periode, hvilket understreger en brancheskift . OMG Mirai-varianten, første gang dokumenteret i 2018, gjorde på samme måde IoT-enheder til proxy-servere .

Kontekst: En fortsat kampagne mod residential proxy-netværk

Denne aktion bygger direkte på Googles aktion den 28. januar 2026 mod IPIDEA-residential proxy-netværket, et af de største af sin slags på det tidspunkt . I den operation eliminerede Google domæner og konti brugt af IPIDEA til at route trafik for cyberkriminelle og statsstøttede angribere . Google vurderede dengang – og bekræftede i juli – at den bredere residential proxy-industri forbliver dybt forbundet med cyberkriminelle økosystemer, hvor toptjenester som NetNut, LunaProxy, 711Proxy og 922Proxy hver opererer over 1 million exit-noder . NetNut-nedlæggelsen var en del af en fortsat kampagne, der også omfattede nedlæggelsen af SocksEscort i marts 2026 og nedlæggelsen af "Outsider" phishing-netværket i juni 2026 .

Alarum Technologies udsendte en erklæring den 2. juli 2026, hvor de sagde, at de ville "samarbejde fuldt ud med politiet for at sikre, at ethvert misbrug af deres infrastruktur bliver grundigt undersøgt" .