NetNut बॉटनेट तोड़ा गया: Google, FBI और Lumen की साझा कार्रवाई में 20 लाख डिवाइसों का भंडाफोड़

2 जुलाई 2026 को Google के Threat Intelligence Group (GTIG) ने घोषणा की कि उसने FBI और Lumen Technologies के साथ साझेदारी में NetNut (जिसे Popa भी कहा जाता है) रेज़िडेंशियल प्रॉक्सी नेटवर्क को बड़ी चोट पहुंचाई है । इस संयुक्त कार्रवाई ने दुनिया के सबसे बड़े ज्ञात बॉटनेट्स में से एक को नष्ट कर दिया, जो आम घरेलू इलेक्ट्रॉनिक्स को वैश्विक साइबर अपराध रिले सिस्टम में शामिल कर रहा था।

गूगल ने तीन ठोस कदम उठाए:

• NetNut से जुड़े मैलवेयर कमांड-एंड-कंट्रोल (C2) ऑपरेशंस के लिए इस्तेमाल होने वाले खातों और सेवाओं को निष्क्रिय कर दिया ।
• कानून प्रवर्तन के साथ तकनीकी खुफिया जानकारी साझा की, जिसमें NetNut के सॉफ्टवेयर डेवलपमेंट किट (SDK) और बैकएंड इंफ्रास्ट्रक्चर का विवरण शामिल था ।
• Google Play Protect को तैनात किया ताकि NetNut के प्रॉक्सी कोड को इंटीग्रेट करने वाले ऐप्स को स्वचालित रूप से डिटेक्ट किया जा सके, उपयोगकर्ताओं को चेतावनी दी जा सके और उन्हें निष्क्रिय किया जा सके ।

अलग से, FBI ने NetNut और Popa बॉटनेट इंफ्रास्ट्रक्चर से जुड़े सैकड़ों डोमेन जब्त कर लिए । FBI ने NetNut के होमपेज को जब्ती नोटिस से बदल दिया ।

पैमाना: कम से कम 20 लाख डिवाइस और बढ़ रहा है

• दुनिया भर में कम से कम 20 लाख कंज़्यूमर डिवाइसों को ट्रैफ़िक को रूट करने के लिए हाइजैक किया गया, जिनमें स्मार्ट टीवी, एंड्रॉयड स्ट्रीमिंग बॉक्स, फोन और टैबलेट शामिल हैं ।
• Synthient, Qurium और Nokia Deepfield के शोधकर्ताओं ने Popa बॉटनेट — जो लगभग चार वर्षों से सक्रिय था — को सीधे NetNut और उसकी पब्लिकली-ट्रेडेड पैरेंट कंपनी Alarum Technologies (NASDAQ: ALAR) से जोड़ा ।
• Nokia Deepfield ने अनुमान लगाया कि नेटवर्क में पीक के समय 359,000 अलग-अलग IP पतों पर प्रति रिले नोड 60,000 डिवाइस तक शामिल थे । संक्रमित डिवाइसों की कुल संख्या 9 से 26 मिलियन के बीच होने का अनुमान है ।
• अकेले मई 2026 में, 14 लाख से अधिक इंटरनेट पतों को NetNut के माध्यम से डेटा-स्क्रैपिंग ट्रैफ़िक का सामना करना पड़ा ।

एक सप्ताह में 316 खतरा क्लस्टर

अवलोकन के एक सप्ताह में, Google के Threat Intelligence Group ने 316 अलग-अलग खतरा क्लस्टरों का पता लगाया जो NetNut प्रॉक्सी इंफ्रास्ट्रक्चर के ज़रिए दुर्भावनापूर्ण ट्रैफ़िक भेज रहे थे । इनमें शामिल थे:

• विज्ञापन धोखाधड़ी
• क्रेडेंशियल स्टफिंग और अकाउंट हैकिंग
• बड़े पैमाने पर डेटा-स्क्रैपिंग
• फिशिंग अभियान
• मैलवेयर C2 रिले

घरेलू डिवाइस कैसे बनते हैं नेटवर्क का हिस्सा

गूगल और शोधकर्ताओं ने संक्रमण के दो प्राथमिक तरीकों की पहचान की:

1. प्री-इंस्टॉल्ड मैलवेयर — कम लागत वाले एंड्रॉयड टीवी बॉक्स और स्ट्रीमिंग डिवाइस जो कुछ निर्माताओं से Popa/Vo1d प्रॉक्सी मैलवेयर के साथ फर्मवेयर में ही आते हैं ।
2. ऐप्स में छिपा प्रॉक्सी कोड — Google Play या तीसरे पक्ष के स्टोर पर उपलब्ध प्रतीत होने वाले सामान्य ऐप्स में गुप्त रूप से NetNut का प्रॉक्सी SDK होता था, जो उपयोगकर्ता की जानकारी के बिना डिवाइस को रिले नोड के रूप में पंजीकृत कर देता था। Google Play Protect का उपयोग ऐसे ऐप्स को डिटेक्ट और निष्क्रिय करने के लिए किया गया । सुरक्षा शोधकर्ताओं ने कई पाइरेटेड स्ट्रीमिंग ऐप्स, टोरेंट क्लाइंट MediaGet, VPN सेवा RoboVPN और एंड्रॉयड TV YouTube क्लाइंट SmartTube में यह कोड पाया ।

गूगल की उपभोक्ताओं को चेतावनी

गूगल ने उपयोगकर्ताओं को उन ऐप्स से बचने की चेतावनी दी जो अप्रयुक्त बैंडविड्थ के बदले भुगतान या "रिवॉर्ड के लिए अपना इंटरनेट कनेक्शन शेयर करें" जैसे दावे करते हैं, क्योंकि ये रेज़िडेंशियल प्रॉक्सी एनरोलमेंट के लिए एक आम ट्रोजन हॉर्स हैं । उपभोक्ताओं को सलाह दी गई कि वे डिवाइसों को अपडेट रखें, अज्ञात विक्रेताओं से सस्ते अनब्रांडेड एंड्रॉयड टीवी बॉक्स खरीदने से बचें और जांचें कि किन ऐप्स के पास नेटवर्क परमिशन हैं।

व्यापक बॉटनेट इकोसिस्टम से कनेक्शन

Popa बॉटनेट ने Vo1d/Mzmess परिवार से व्युत्पन्न मैलवेयर का उपयोग किया, जो एंड्रॉयड-आधारित IoT डिवाइसों को लक्षित करने वाले Mirai बॉटनेट वेरिएंट्स से संबंधित है । इसी अवधि में, Aisuru बॉटनेट (एक Mirai/TurboMirai-class IoT बॉटनेट) को DDoS हमलों से हटकर रेज़िडेंशियल प्रॉक्सी मॉडल की ओर जाते देखा गया, जो एक उद्योग-व्यापी बदलाव को उजागर करता है । 2018 में पहली बार दर्ज किया गया OMG Mirai वेरिएंट, इसी तरह IoT डिवाइसों को प्रॉक्सी सर्वर में बदल देता था ।

संदर्भ: रेज़िडेंशियल प्रॉक्सी नेटवर्क के खिलाफ चल रहा अभियान

यह कार्रवाई सीधे Google के 28 जनवरी 2026 को IPIDEA रेज़िडेंशियल प्रॉक्सी नेटवर्क के विघटन पर आधारित है, जो उस समय दुनिया के सबसे बड़े ऐसे नेटवर्कों में से एक था । उस ऑपरेशन में, गूगल ने IPIDEA द्वारा साइबर अपराधियों और राज्य-प्रायोजित हमलावरों के लिए ट्रैफ़िक रूट करने के लिए उपयोग किए जाने वाले डोमेन और खातों को समाप्त कर दिया । गूगल ने तब आकलन किया — और जुलाई में फिर से पुष्टि की — कि व्यापक रेज़िडेंशियल प्रॉक्सी उद्योग साइबर अपराधी इकोसिस्टम से गहराई से जुड़ा हुआ है, जिसमें NetNut, LunaProxy, 711Proxy और 922Proxy जैसी शीर्ष सेवाएं प्रत्येक 10 लाख से अधिक एग्जिट नोड संचालित कर रही हैं । NetNut को हटाना एक सतत अभियान का हिस्सा था जिसमें मार्च 2026 में SocksEscort का विघटन और जून 2026 में "Outsider" फिशिंग नेटवर्क का तख्तापलट भी शामिल था ।

Alarum Technologies ने 2 जुलाई 2026 को एक बयान जारी कर कहा कि वह "अपने बुनियादी ढांचे के किसी भी दुरुपयोग की गहन जांच सुनिश्चित करने और जिम्मेदार लोगों को जवाबदेह ठहराने के लिए कानून प्रवर्तन के साथ पूरी तरह से सहयोग करेगी" ।