Comment Google, le FBI et Lumen ont démantelé le réseau de proxies NetNut, un botnet de 2 millions d'appareils

Le 2 juillet 2026, le Google Threat Intelligence Group (GTIG) a annoncé avoir considérablement affaibli le réseau de proxies résidentiels NetNut (également connu en interne sous le nom de Popa), en collaboration avec le FBI et Lumen Technologies, ainsi que d'autres partenaires industriels . Cette action coordonnée a frappé l'un des plus grands botnets connus, qui enrôlait des appareils électroniques domestiques ordinaires dans un système de relais mondial pour la cybercriminalité.

Google a pris trois mesures concrètes :

• Désactivation des comptes et services utilisés pour les opérations de commande et de contrôle (C2) des malwares liés à NetNut .
• Partage de renseignements techniques avec les forces de l'ordre, y compris des détails sur le kit de développement logiciel (SDK) et l'infrastructure dorsale de NetNut .
• Déploiement de Google Play Protect pour détecter, avertir les utilisateurs et désactiver automatiquement les applications contenant le code proxy de NetNut .

Parallèlement, le FBI a saisi des centaines de domaines associés à NetNut et à l'infrastructure du botnet Popa . Le FBI a également remplacé la page d'accueil de NetNut par un avis de saisie .

L'ampleur : au moins 2 millions d'appareils et en croissance

• Au moins 2 millions d'appareils grand public dans le monde ont été piratés pour faire transiter du trafic via des adresses IP résidentielles, notamment des téléviseurs connectés, des box Android, des téléphones et des tablettes .
• Des chercheurs de Synthient, Qurium et Nokia Deepfield ont lié le botnet Popa — qui opérait depuis environ quatre ans — directement à NetNut et à sa société mère cotée en bourse, Alarum Technologies (NASDAQ : ALAR) .
• Nokia Deepfield estimait que le réseau impliquait jusqu'à 60 000 appareils par nœud relais répartis sur 359 000 adresses IP distinctes au maximum . Certaines estimations du nombre total d'appareils infectés allaient de 9 à 26 millions .
• Rien qu'en mai 2026, plus d'1,4 million d'adresses internet ont été touchées par du trafic de collecte de données acheminé via NetNut .

316 clusters de menaces en une seule semaine

En une seule semaine d'observation, le Google Threat Intelligence Group a détecté 316 clusters de menaces distincts acheminant du trafic malveillant via l'infrastructure proxy de NetNut . Ceux-ci comprenaient :

• La fraude publicitaire
• Le « credential stuffing » et les reprises de comptes
• Les opérations de collecte massive de données
• Les campagnes de phishing
• Le relais C2 pour malwares

Comment les appareils domestiques intègrent le réseau

Google et les chercheurs ont identifié deux méthodes d'infection principales :

1. Logiciel malveillant préinstallé — Des box TV Android et appareils de streaming bon marché expédiés par certains fabricants avec le malware proxy Popa/Vo1d déjà intégré dans le firmware .
2. Code proxy caché dans des applications — Des applications d'apparence légitime sur Google Play ou des boutiques tierces contenaient secrètement le SDK proxy de NetNut, qui enrôlait silencieusement l'appareil comme nœud relais à l'insu de l'utilisateur. Google Play Protect a été utilisé pour détecter et désactiver ces applications . Les chercheurs en sécurité ont découvert le code dans de nombreuses applications de streaming pirate, le client torrent MediaGet, le service VPN RoboVPN et le client YouTube pour Android TV SmartTube .

L'avertissement de Google aux consommateurs

Google a averti les utilisateurs d'éviter les applications qui proposent un paiement pour la bande passante inutilisée ou prétendent « partager votre connexion internet pour des récompenses », car il s'agit d'un cheval de Troie courant pour l'enrôlement dans des proxies résidentiels . Les consommateurs ont été invités à maintenir leurs appareils à jour, à éviter les box TV Android bon marché et sans marque provenant de vendeurs inconnus, et à vérifier les autorisations réseau des applications.

Lien avec l'écosystème plus large des botnets

Le botnet Popa utilisait un malware dérivé de la famille Vo1d/Mzmess, qui partage une lignée avec les variantes du botnet Mirai ciblant les appareils IoT sous Android . Le botnet Aisuru, un botnet IoT de classe Mirai/TurboMirai, a également été observé en train de passer des attaques DDoS aux modèles de proxies résidentiels durant cette période, soulignant une évolution à l'échelle de l'industrie . La variante OMG Mirai, documentée pour la première fois en 2018, transformait également les appareils IoT en serveurs proxy .

Contexte : une campagne continue contre les réseaux de proxies résidentiels

Cette action s'inscrit dans le prolongement direct de la perturbation par Google, le 28 janvier 2026, du réseau de proxies résidentiels IPIDEA, l'un des plus grands réseaux de ce type à l'époque . Dans le cadre de cette opération, Google a supprimé les domaines et comptes utilisés par IPIDEA pour acheminer le trafic des cybercriminels et des attaquants parrainés par des États . Google a estimé à l'époque — et a réaffirmé en juillet — que l'industrie plus large des proxies résidentiels reste profondément liée aux écosystèmes criminels, les principaux services comme NetNut, LunaProxy, 711Proxy et 922Proxy exploitant chacun plus d'1 million de nœuds de sortie . Le démantèlement de NetNut faisait partie d'une campagne continue qui comprenait également la perturbation de SocksEscort en mars 2026 et le démantèlement du réseau de phishing « Outsider » en juin 2026 .

Alarum Technologies a publié une déclaration le 2 juillet 2026, affirmant qu'elle « coopérera pleinement avec les forces de l'ordre pour garantir que toute utilisation abusive de son infrastructure fasse l'objet d'une enquête approfondie » .