Google, FBI ja Lumen iskivät NetNut-botnetiin – 2 miljoonaa laitetta toimi rikollisten välittäjinä

Lisäksi FBI takavarikoi satoja verkkotunnuksia, jotka liittyivät NetNutiin ja Popa-bottiverkon infrastruktuuriin . FBI myös korvasi NetNutin etusivun takavarikointi-ilmoituksella .

Laajuus: Vähintään 2 miljoonaa laitetta – ja kasvussa

• Vähintään 2 miljoonaa kuluttajalaitetta maailmanlaajuisesti oli kaapattu välittämään liikennettä asuinverkkojen IP-osoitteiden kautta, mukaan lukien älytelevisiot, Android-suoratoistolaitteet, puhelimet ja tabletit .
• Tutkijat Synthientiltä, Quriumilta ja Nokia Deepfieldiltä yhdistivät Popa-bottiverkon – joka oli toiminut noin neljä vuotta – suoraan NetNutiin ja sen julkisesti noteerattuun emoyhtiöön Alarum Technologiesiin (NASDAQ: ALAR) .
• Nokia Deepfield arvioi, että verkko käsitti jopa 60 000 laitetta välityssolmua kohden ja 359 000 erillistä IP-osoitetta huippuhetkellä . Joidenkin arvioiden mukaan tartunnan saaneiden laitteiden kokonaismäärä oli 9–26 miljoonaa .
• Pelkästään toukokuussa 2026 yli 1,4 miljoonaa internet-osoitetta joutui NetNutin kautta kulkeneen tiedonkeruuliikenteen kohteeksi .

316 uhkaryhmää yhdessä viikossa

Yhden tarkkailuviikon aikana Googlen Threat Intelligence Group havaitsi 316 erillistä uhkaryhmää, jotka ohjasivat haitallista liikennettä NetNutin välitysinfrastruktuurin kautta . Näihin kuuluivat:

• Mainospetokset
• Tunnusten murtaminen ja tilitakaukset
• Massiiviset tiedonkeruuoperaatiot
• Tietojenkalastelukampanjat
• Haittaohjelmien komento- ja ohjausvälitys

Miten kotilaitteista tulee osa verkkoa

Google ja tutkijat tunnistivat kaksi ensisijaista tartuntamenetelmää:

1. Esiasennettu haittaohjelma – Halvat Android TV -boksi ja suoratoistolaitteet, jotka tietyt valmistajat toimittivat Popa/Vo1d-välityshaittaohjelman ollessa jo upotettuna laiteohjelmistoon .
2. Piilotettu välityskoodi sovelluksissa – Näennäisesti lailliset sovellukset Google Playssa tai kolmannen osapuolen kaupoissa sisälsivät salaa NetNutin välitys-SDK:n, joka hiljaisesti liitti laitteen välityssolmuksi ilman käyttäjän tietoa. Google Play Protectia käytettiin näiden sovellusten havaitsemiseen ja poistamiseen . Turvallisuustutkijat löysivät koodia useista piraattisuoratoistosovelluksista, torrent-asiakas MediaGetistä, VPN-palvelu RoboVPN:stä ja Android TV:n YouTube-asiakas SmartTubesta .

Googlen varoitus kuluttajille

Google varoitti käyttäjiä välttämään sovelluksia, jotka tarjoavat maksua käyttämättömästä kaistanleveydestä tai väittävät "jakavansa internet-yhteytesi palkkioita vastaan", koska nämä ovat yleinen troijalainen asuinverkkojen välityspalveluihin liittymiselle . Kuluttajia kehotettiin pitämään laitteet päivitettyinä, välttämään halpoja brändäämättömiä Android TV -bokseja tuntemattomilta myyjiltä ja tarkistamaan, millä sovelluksilla on verkko-oikeuksia.

Yhteys laajempaan bottiverkkoekosysteemiin

Popa-bottiverkko käytti haittaohjelmaa, joka on peräisin Vo1d/Mzmess-perheestä, jolla on yhteys Mirai-bottiverkon variantteihin, jotka kohdistuvat Android-pohjaisiin IoT-laitteisiin . Myös Aisuru-bottiverkon, joka on Mirai/TurboMirai-luokan IoT-bottiverkko, havaittiin siirtyvän DDoS-hyökkäyksistä asuinverkkojen välitysmalliin tänä aikana, mikä korostaa laajempaa suuntauksen muutosta alalla . OMG Mirai -variantti, joka dokumentoitiin ensimmäisen kerran vuonna 2018, muutti IoT-laitteet vastaavasti välityspalvelimiksi .

Tausta: Jatkuva kampanja asuinverkkojen välityspalveluita vastaan

Tämä toimenpide on suoraa jatkoa Googlen 28. tammikuuta 2026 toteuttamalle IPIDEA-asuinverkkovälityspalvelun purkamiselle, joka oli tuolloin yksi maailman suurimmista tällaisista verkoista . Siinä operaatiossa Google poisti IPIDEAn käyttämät verkkotunnukset ja tilit, joiden kautta se ohjasi liikennettä kyberrikollisille ja valtiollisten toimijoiden hyökkääjille . Google arvioi tuolloin – ja vahvisti heinäkuussa – että laajempi asuinverkkojen välityspalveluala on edelleen syvästi kytköksissä kyberrikollisiin ekosysteemeihin, ja huippupalveluilla, kuten NetNut, LunaProxy, 711Proxy ja 922Proxy, on kullakin yli miljoona poistumissolmua . NetNutin kaato oli osa jatkuvaa kampanjaa, johon kuuluivat myös maaliskuussa 2026 toteutettu SocksEscortin purkaminen ja kesäkuussa 2026 toteutettu "Outsider"-tietojenkalasteluverkon alasajo .

Alarum Technologies antoi 2. heinäkuuta 2026 lausunnon, jonka mukaan se "tekee täysimääräistä yhteistyötä lainvalvontaviranomaisten kanssa varmistaakseen, että kaikki sen infrastruktuurin väärinkäytöt tutkitaan perusteellisesti" .