מבצע ענק נגד רשת פרוקסי עבריינית: גוגל, FBI ו-Lumen פירקו את בוטנט NetNut שהשתלט על מיליוני מכשירים ביתיים

ב-2 ביולי 2026, קבוצת מודיעין האיומים של גוגל (GTIG) הודיעה כי פגעה משמעותית ברשת הפרוקסי הביתית NetNut (הידועה גם בשם Popa), בעבודה משותפת עם ה-FBI ו-Lumen Technologies, יחד עם שותפים נוספים בתעשייה . הפעולה המתואמת פגעה באחד מבוטנטים הגדולים הידועים שגייסו מכשירים אלקטרוניים ביתיים רגילים למערכת ממסר עבריינית גלובלית.

גוגל נקטה בשלושה צעדים קונקרטיים:

• ניתקה חשבונות ושירותים ששימשו לפעולות שליטה ובקרה (C2) של התוכנה הזדונית הקשורה ל-NetNut .
• שיתפה מידע טכני עם רשויות אכיפת החוק, כולל פרטים על ערכת הפיתוח (SDK) ותשתיות הקצה של NetNut .
• הפעילה את Google Play Protect כדי לזהות אוטומטית, להזהיר משתמשים ולחסום אפליקציות שנמצאו כמשלבות את קוד הפרוקסי של NetNut .

במקביל, ה-FBI תפס מאות דומיינים הקשורים ל-NetNut ולתשתית בוטנט Popa . ה-FBI גם החליף את דף הבית של NetNut בהודעת תפיסה .

קנה המידה: לפחות 2 מיליון מכשירים וגדל

• לפחות 2 מיליון מכשירים צרכניים ברחבי העולם נחטפו כדי להעביר תעבורה דרך כתובות IP ביתיות, כולל טלוויזיות חכמות, ממירי אנדרואיד, טלפונים וטאבלטים .
• חוקרים מ-Synthient, Qurium ו-Nokia Deepfield קישרו את בוטנט Popa – שפעל כארבע שנים – ישירות ל-NetNut ולחברת האם הנסחרת שלה Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield העריכה שהרשת כללה עד 60,000 מכשירים לכל צומת ממסר על פני 359,000 כתובות IP נפרדות בשיא . הערכות מסוימות לגבי המאגר הכולל של המכשירים הנגועים נעו בין 9 ל-26 מיליון מכשירים .
• במאי 2026 בלבד, יותר מ-1.4 מיליון כתובות אינטרנט נפגעו מתעבורת גירוד נתונים שהועברה דרך NetNut .

316 אשכולות איומים בשבוע אחד

בשבוע אחד של תצפית, קבוצת מודיעין האיומים של גוגל זיהתה 316 אשכולות איומים מובחנים שהעבירו תעבורה זדונית דרך תשתיות הפרוקסי של NetNut . אלה כללו:

• הונאות פרסום
• מילוי פרטי כניסה והשתלטות על חשבונות
• מבצעי גירוד נתונים המוניים
• קמפיינים של פישינג
• ממסר שליטה ובקרה של תוכנות זדוניות

איך מכשירים ביתיים הופכים לחלק מהרשת

גוגל וחוקרים זיהו שתי שיטות הדבקה עיקריות:

1. תוכנה זדונית מותקנת מראש – ממירי אנדרואיד זולים ומכשירי סטרימינג שנשלחו מיצרנים מסוימים עם תוכנת הפרוקסי Popa/Vo1d מוטמעת בקושחה .
2. קוד פרוקסי מוסתר באפליקציות – אפליקציות שנראות לגיטימיות בחנות Google Play או בחנויות צד שלישי הכילו בסתר את SDK הפרוקסי של NetNut, שגייס בשקט את המכשיר כצומת ממסר ללא ידיעת המשתמש. Google Play Protect שימש לזיהוי וחסימת אפליקציות אלה . חוקרי אבטחה מצאו את הקוד במספר אפליקציות סטרימינג פיראטיות, לקוח הטורנט MediaGet, שירות ה-VPN RoboVPN, ולקוח YouTube לאנדרואיד TV SmartTube .

אזהרת גוגל לצרכנים

גוגל הזהירה משתמשים להימנע מאפליקציות שמציעות תשלום תמורת רוחב פס שאינו מנוצל או טוענות כי "שתפו את חיבור האינטרנט שלכם תמורת פרסים", שכן אלו הן סוסים טרויאניים נפוצים לגיוס לפרוקסי ביתי . לצרכנים הומלץ לעדכן מכשירים, להימנע מממירי אנדרואיד זולים ללא מותג מספקים לא ידועים, ולבדוק לאילו אפליקציות יש הרשאות רשת.

קשר למערכת האקולוגית הרחבה יותר של בוטנטים

בוטנט Popa השתמש בתוכנה זדונית שמקורה במשפחת Vo1d/Mzmess, שחולקת שושלת עם וריאנטים של בוטנט Mirai המכוונים למכשירי IoT מבוססי אנדרואיד . בוטנט Aisuru, בוטנט IoT מסוג Mirai/TurboMirai, נצפה גם הוא עובר מהתקפות DDoS למודלים של פרוקסי ביתי בתקופה זו, מה שמדגיש שינוי בתעשייה . וריאנט OMG Mirai, שתועד לראשונה ב-2018, הפך באופן דומה מכשירי IoT לשרתי פרוקסי .

הקשר: מערכה מתמשכת נגד רשתות פרוקסי ביתיות

פעולה זו מתבססת ישירות על שיבוש רשת הפרוקסי הביתית IPIDEA על ידי גוגל ב-28 בינואר 2026, אחת הרשתות הגדולות בעולם באותה עת . במבצע ההוא, גוגל חיסלה דומיינים וחשבונות ששימשו את IPIDEA להעברת תעבורה עבור פושעי סייבר ותוקפים בחסות מדינה . גוגל העריכה אז – ואישרה מחדש ביולי – שתעשיית הפרוקסי הביתית הרחבה יותר נותרה קשורה עמוקות למערכות אקולוגיות פליליות, כאשר שירותים מובילים כמו NetNut, LunaProxy, 711Proxy ו-922Proxy מפעילים כל אחד מעל מיליון צמתי יציאה . תפיסת NetNut הייתה חלק ממערכה מתמשכת שכללה גם את שיבוש SocksEscort במרץ 2026 ואת תפיסת רשת הפישינג "Outsider" ביוני 2026 .

Alarum Technologies פרסמה הצהרה ב-2 ביולי 2026, ואמרה כי "תשתף פעולה באופן מלא עם רשויות אכיפת החוק כדי להבטיח כי כל שימוש לרעה בתשתיותיה ייחקר ביסודיות" .