Golpe coordinado contra NetNut: cómo Google, el FBI y Lumen desactivaron una red de 2 millones de dispositivos convertidos en proxies criminales

El 2 de julio de 2026, el Grupo de Inteligencia de Amenazas de Google (GTIG) anunció que había degradado significativamente la red de proxies residenciales NetNut (conocida internamente como Popa), en colaboración con el FBI y Lumen Technologies, junto con otros socios de la industria . La acción coordinada asestó un golpe a una de las redes de bots más grandes conocidas, que reclutaba electrodomésticos comunes para convertirlos en un sistema global de retransmisión de ciberdelitos.

Google tomó tres medidas concretas:

• Desactivó cuentas y servicios utilizados para operaciones de comando y control (C2) relacionadas con el malware de NetNut .
• Compartió inteligencia técnica con las fuerzas del orden, incluidos detalles sobre el kit de desarrollo de software (SDK) y la infraestructura backend de NetNut .
• Implementó Google Play Protect para detectar, advertir a los usuarios y deshabilitar automáticamente las aplicaciones que integraban el código proxy de NetNut .

Por separado, el FBI incautó cientos de dominios asociados con NetNut y la infraestructura de la red de bots Popa . El FBI también reemplazó la página de inicio de NetNut con un aviso de incautación .

La Magnitud: Al Menos 2 Millones de Dispositivos y en Aumento

• Al menos 2 millones de dispositivos de consumo en todo el mundo fueron secuestrados para enrutar tráfico a través de direcciones IP residenciales, incluyendo televisiones inteligentes, cajas de streaming Android, teléfonos y tabletas .
• Investigadores de Synthient, Qurium y Nokia Deepfield vincularon la red de bots Popa —que había estado operando durante aproximadamente cuatro años— directamente con NetNut y su empresa matriz que cotiza en bolsa, Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield estimó que la red involucraba hasta 60,000 dispositivos por nodo de retransmisión en 359,000 direcciones IP distintas en su punto máximo . Algunas estimaciones del total de dispositivos infectados oscilaban entre 9 y 26 millones .
• Solo en mayo de 2026, más de 1.4 millones de direcciones de internet fueron afectadas por tráfico de extracción de datos enrutado a través de NetNut .

316 Grupos de Amenazas en Una Sola Semana

En una sola semana de observación, el Grupo de Inteligencia de Amenazas de Google detectó 316 grupos de amenazas distintos enrutando tráfico malicioso a través de la infraestructura proxy de NetNut . Estos incluían:

• Fraude publicitario
• Relleno de credenciales y robos de cuentas
• Operaciones masivas de extracción de datos
• Campañas de phishing
• Retransmisión de comandos y control de malware

Cómo los Dispositivos Domésticos se Convierten en Parte de la Red

Google y los investigadores identificaron dos métodos principales de infección:

1. Malware preinstalado: Cajas de televisión Android y dispositivos de streaming de bajo costo enviados por ciertos fabricantes con el malware proxy Popa/Vo1d ya incrustado en el firmware .
2. Código proxy oculto en aplicaciones: Aplicaciones aparentemente legítimas en Google Play o tiendas de terceros contenían secretamente el SDK proxy de NetNut, que inscribía silenciosamente el dispositivo como un nodo de retransmisión sin el conocimiento del usuario. Google Play Protect se utilizó para detectar y deshabilitar estas aplicaciones . Los investigadores de seguridad encontraron el código en numerosas aplicaciones de streaming pirateadas, el cliente de torrents MediaGet, el servicio VPN RoboVPN y el cliente de YouTube para Android TV SmartTube .

Advertencia de Google a los Consumidores

Google advirtió a los usuarios que eviten aplicaciones que ofrecen pago por el ancho de banda no utilizado o afirman "compartir tu conexión a internet por recompensas", ya que estas son un caballo de Troya común para la inscripción en proxies residenciales . Se aconsejó a los consumidores mantener los dispositivos actualizados, evitar cajas de TV Android baratas y sin marca de proveedores desconocidos, y verificar qué aplicaciones tienen permisos de red.

Conexión con el Ecosistema Más Amplio de Redes de Bots

La red de bots Popa utilizaba malware derivado de la familia Vo1d/Mzmess, que comparte linaje con variantes de la red de bots Mirai dirigidas a dispositivos IoT basados en Android . También se observó que la red de bots Aisuru, una red de bots IoT de clase Mirai/TurboMirai, pasó de ataques DDoS a modelos de proxies residenciales durante este período, lo que destaca un cambio en toda la industria . La variante OMG Mirai, documentada por primera vez en 2018, también convertía dispositivos IoT en servidores proxy .

Contexto: Una Campaña Continua Contra las Redes de Proxies Residenciales

Esta acción se basa directamente en la desarticulación de la red de proxies residenciales IPIDEA por parte de Google el 28 de enero de 2026, una de las redes más grandes de este tipo a nivel mundial en ese momento . En esa operación, Google eliminó dominios y cuentas utilizados por IPIDEA para enrutar tráfico de ciberdelincuentes y atacantes patrocinados por estados . Google evaluó entonces —y reafirmó en julio— que la industria más amplia de proxies residenciales sigue profundamente conectada a los ecosistemas ciberdelincuentes, con servicios principales como NetNut, LunaProxy, 711Proxy y 922Proxy operando cada uno más de 1 millón de nodos de salida . La desarticulación de NetNut fue parte de una campaña continua que también incluyó la interrupción de SocksEscort en marzo de 2026 y el desmantelamiento de la red de phishing "Outsider" en junio de 2026 .

Alarum Technologies emitió un comunicado el 2 de julio de 2026, diciendo que "cooperará plenamente con las fuerzas del orden para garantizar que cualquier uso indebido de su infraestructura sea investigado a fondo" .