Massive Botnet-Zerschlagung: Wie Google, das FBI und Lumen das NetNut-Proxy-Netzwerk mit 2 Millionen Geräten zerschlugen

Am 2. Juli 2026 gab Googles Threat Intelligence Group (GTIG) bekannt, dass sie das NetNut-Residential-Proxy-Netzwerk (intern auch als Popa bekannt) massiv geschwächt hat. Die Aktion erfolgte in Zusammenarbeit mit dem FBI und Lumen Technologies sowie weiteren Industriepartnern . Es handelte sich um einen koordinierten Schlag gegen eines der größten bekannten Botnetze, das alltägliche Unterhaltungselektronik in ein globales Cyberkriminalitäts-Relais verwandelte.

Google ergriff drei konkrete Maßnahmen:

• Deaktivierung von Konten und Diensten, die für die Command-and-Control-Operationen (C2) der NetNut-Malware genutzt wurden .
• Weitergabe technischer Informationen an Strafverfolgungsbehörden, darunter Details zum Software Development Kit (SDK) und der Backend-Infrastruktur von NetNut .
• Einsatz von Google Play Protect, um Apps, die den Proxy-Code von NetNut integrierten, automatisch zu erkennen, Nutzer zu warnen und die Apps zu deaktivieren .

Parallel dazu beschlagnahmte das FBI hunderte Domains, die mit NetNut und der Popa-Botnet-Infrastruktur in Verbindung standen . Die NetNut-Startseite wurde durch eine Beschlagnahmungsmitteilung ersetzt .

Das Ausmaß: Mindestens 2 Millionen Geräte und weiteres Wachstum

• Weltweit wurden mindestens 2 Millionen Verbrauchergeräte gekapert, um Datenverkehr über private IP-Adressen zu leiten, darunter Smart-TVs, Android-Streaming-Boxen, Smartphones und Tablets .
• Forscher von Synthient, Qurium und Nokia Deepfield brachten das Popa-Botnet – das etwa vier Jahre lang aktiv war – direkt mit NetNut und dessen börsennotierter Muttergesellschaft Alarum Technologies (NASDAQ: ALAR) in Verbindung .
• Nokia Deepfield schätzte, dass das Netzwerk auf dem Höhepunkt bis zu 60.000 Geräte pro Relais-Knoten über 359.000 verschiedene IP-Adressen umfasste . Einige Schätzungen des gesamten infizierten Pools beliefen sich auf 9 bis 26 Millionen Geräte .
• Allein im Mai 2026 wurden mehr als 1,4 Millionen Internetadressen von Datenabfluss-Verkehr getroffen, der über NetNut geleitet wurde .

316 Bedrohungscluster in einer einzigen Woche

In einer einzigen Beobachtungswoche entdeckte Googles Threat Intelligence Group 316 verschiedene Bedrohungscluster, die ihren schädlichen Datenverkehr über die NetNut-Proxy-Infrastruktur leiteten . Dazu gehörten:

• Werbebetrug
• Credential Stuffing und Kontoübernahmen
• Massen-Datenscraping-Operationen
• Phishing-Kampagnen
• Malware-C2-Relais

Wie Haushaltsgeräte Teil des Netzwerks werden

Google und Forscher identifizierten zwei primäre Infektionsmethoden:

1. Vorinstallierte Malware – Günstige Android-TV-Boxen und Streaming-Geräte, die von bestimmten Herstellern mit der Popa/Vo1d-Proxy-Malware in der Firmware ausgeliefert wurden .
2. Versteckter Proxy-Code in Apps – Scheinbar legitime Apps im Google Play Store oder in Drittanbieter-Stores enthielten heimlich das NetNut-Proxy-SDK, das das Gerät ohne Wissen des Nutzers als Relais-Knoten einband. Google Play Protect wurde eingesetzt, um diese Apps zu erkennen und zu deaktivieren . Sicherheitsforscher fanden den Code in zahlreichen Raubkopien-Streaming-Apps, dem Torrent-Client MediaGet, dem VPN-Dienst RoboVPN und dem Android-TV-YouTube-Client SmartTube .

Googles Warnung an Verbraucher

Google warnte Nutzer davor, Apps zu installieren, die eine Bezahlung für ungenutzte Bandbreite anbieten oder damit werben, „die Internetverbindung für Belohnungen zu teilen“. Dies sei ein typischer Trojaner für die Rekrutierung von Residential-Proxies . Verbrauchern wurde geraten, ihre Geräte auf dem neuesten Stand zu halten, keine billigen, markenlosen Android-TV-Boxen von unbekannten Händlern zu kaufen und zu überprüfen, welche Apps Netzwerkberechtigungen besitzen.

Verbindung zum breiteren Botnet-Ökosystem

Das Popa-Botnet verwendete Malware aus der Vo1d/Mzmess-Familie, die mit Mirai-Botnet-Varianten verwandt ist, die auf Android-basierte IoT-Geräte abzielen . Auch das Aisuru-Botnet, ein Mirai/TurboMirai-Klasse-IoT-Botnet, wurde in diesem Zeitraum dabei beobachtet, wie es von DDoS-Angriffen zu Residential-Proxy-Modellen wechselte, was einen branchenweiten Wandel verdeutlicht . Die OMG-Mirai-Variante, die erstmals 2018 dokumentiert wurde, wandelte IoT-Geräte ebenfalls in Proxy-Server um .

Kontext: Eine fortlaufende Kampagne gegen Residential-Proxy-Netzwerke

Diese Aktion baut direkt auf Googles Störung des IPIDEA-Residential-Proxy-Netzwerks vom 28. Januar 2026 auf, einem der damals weltweit größten derartigen Netzwerke . Bei dieser Operation eliminierte Google Domains und Konten, die IPIDEA zur Weiterleitung von Datenverkehr für Cyberkriminelle und staatlich unterstützte Angreifer nutzte . Google stellte damals – und bekräftigte dies im Juli – fest, dass die gesamte Residential-Proxy-Branche weiterhin tief mit dem Cyberkriminalitäts-Ökosystem verbunden ist, wobei Top-Dienste wie NetNut, LunaProxy, 711Proxy und 922Proxy jeweils über 1 Million Exit-Knoten betreiben . Die NetNut-Zerschlagung ist Teil einer fortlaufenden Kampagne, die auch die Störung von SocksEscort im März 2026 und die Zerschlagung des „Outsider“-Phishing-Netzwerks im Juni 2026 umfasst .

Alarum Technologies gab am 2. Juli 2026 eine Erklärung heraus, in der es hieß, man werde „vollständig mit den Strafverfolgungsbehörden zusammenarbeiten, um sicherzustellen, dass jeder Missbrauch seiner Infrastruktur gründlich untersucht wird“ .