Google mengambil tiga langkah konkret dalam operasi ini:

• Menonaktifkan akun dan layanan yang digunakan untuk operasi komando dan kontrol (C2) malware yang terkait dengan NetNut .
• Membagikan intelijen teknis kepada penegak hukum, termasuk detail tentang software development kit (SDK) dan infrastruktur backend NetNut .
• Mengerahkan Google Play Protect untuk secara otomatis mendeteksi, memperingatkan pengguna, dan menonaktifkan aplikasi yang terbukti mengintegrasikan kode proxy NetNut .

Secara terpisah, FBI menyita ratusan domain yang terkait dengan NetNut dan infrastruktur botnet Popa . FBI bahkan mengganti laman utama NetNut dengan pemberitahuan penyitaan .

Skala Luar Biasa: Setidaknya 2 Juta Perangkat dan Terus Bertambah

• Setidaknya 2 juta perangkat konsumen di seluruh dunia telah dibajak untuk merutekan lalu lintas internet melalui alamat IP residensial. Perangkat tersebut meliputi smart TV, Android TV box, ponsel, dan tablet .
• Para peneliti dari Synthient, Qurium, dan Nokia Deepfield menghubungkan botnet Popa—yang telah beroperasi selama kurang lebih empat tahun—langsung ke NetNut dan perusahaan induknya yang tercatat di bursa saham, Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield memperkirakan jaringan ini melibatkan hingga 60.000 perangkat per node relay yang tersebar di 359.000 alamat IP berbeda pada puncaknya . Bahkan, beberapa perkiraan total perangkat yang terinfeksi berkisar antara 9 hingga 26 juta perangkat .
• Pada bulan Mei 2026 saja, lebih dari 1,4 juta alamat internet menjadi sasaran lalu lintas pengumpulan data (data-scraping) yang dirutekan melalui NetNut .

316 Klaster Ancaman dalam Satu Pekan

Dalam satu minggu observasi, Google Threat Intelligence Group mendeteksi 316 klaster ancaman berbeda yang merutekan lalu lintas berbahaya melalui infrastruktur proxy NetNut . Klaster-klaster ini mencakup:

• Penipuan iklan (ad fraud)
• Serangan credential stuffing dan pembajakan akun (account takeover)
• Operasi pengumpulan data massal (data scraping)
• Kampanye phishing
• Relay komando dan kontrol (C2) malware

Bagaimana Perangkat Rumahan Menjadi Bagian dari Jaringan Ini

Google dan para peneliti mengidentifikasi dua metode infeksi utama:

1. Malware pra-instal — Perangkat Android TV box dan streaming murah yang dikirim dari pabrikan tertentu sudah mengandung malware proxy Popa/Vo1d yang tertanam di dalam firmware .
2. Kode proxy tersembunyi di dalam aplikasi — Aplikasi yang tampak sah di Google Play atau toko aplikasi pihak ketiga diam-diam mengandung SDK proxy NetNut. SDK ini secara otomatis mendaftarkan perangkat sebagai node relay tanpa sepengetahuan pengguna. Google Play Protect digunakan untuk mendeteksi dan menonaktifkan aplikasi-aplikasi ini . Para peneliti keamanan menemukan kode tersebut di sejumlah aplikasi streaming bajakan, klien torrent MediaGet, layanan VPN RoboVPN, dan klien YouTube Android TV, SmartTube .

Peringatan Google untuk Konsumen

Google memperingatkan pengguna untuk menghindari aplikasi yang menawarkan bayaran untuk bandwidth yang tidak terpakai atau mengklaim bisa "berbagi koneksi internet Anda demi hadiah". Aplikasi semacam ini adalah pintu masuk utama bagi pendaftaran proxy residensial . Konsumen disarankan untuk selalu memperbarui perangkat, menghindari pembelian Android TV box murah tak bermerek dari vendor tidak dikenal, dan memeriksa aplikasi mana saja yang memiliki izin akses jaringan.

Kaitan dengan Ekosistem Botnet yang Lebih Luas

Botnet Popa menggunakan malware turunan dari keluarga Vo1d/Mzmess, yang memiliki garis keturunan yang sama dengan varian botnet Mirai yang menargetkan perangkat IoT berbasis Android . Botnet Aisuru, botnet IoT kelas Mirai/TurboMirai, juga terlihat beralih dari serangan DDoS ke model proxy residensial pada periode yang sama, menyoroti pergeseran industri yang signifikan . Varian OMG Mirai, yang pertama kali didokumentasikan pada tahun 2018, juga telah mengubah perangkat IoT menjadi server proxy .

Konteks: Kampanye Berkelanjutan Melawan Jaringan Proxy Residensial

Tindakan ini merupakan kelanjutan langsung dari penggulingan jaringan proxy residensial IPIDEA oleh Google pada 28 Januari 2026, yang saat itu merupakan salah satu jaringan terbesar di dunia . Dalam operasi sebelumnya, Google menghilangkan domain dan akun yang digunakan IPIDEA untuk merutekan lalu lintas bagi para penjahat siber dan peretas yang didukung negara . Google menilai saat itu—dan kembali menegaskannya pada Juli 2026—bahwa industri proxy residensial secara luas masih sangat terhubung dengan ekosistem kriminal siber. Layanan papan atas seperti NetNut, LunaProxy, 711Proxy, dan 922Proxy masing-masing mengoperasikan lebih dari 1 juta node keluar (exit nodes) . Pembongkaran NetNut adalah bagian dari kampanye berkelanjutan yang juga mencakup penggulingan SocksEscort pada Maret 2026 dan pembongkaran jaringan phishing "Outsider" pada Juni 2026 .

Alarum Technologies mengeluarkan pernyataan pada 2 Juli 2026, yang menyatakan akan "bekerja sama sepenuhnya dengan penegak hukum untuk memastikan setiap penyalahgunaan infrastrukturnya diselidiki secara menyeluruh" .

Google mengambil tiga langkah konkret dalam operasi ini:

• Menonaktifkan akun dan layanan yang digunakan untuk operasi komando dan kontrol (C2) malware yang terkait dengan NetNut .
• Membagikan intelijen teknis kepada penegak hukum, termasuk detail tentang software development kit (SDK) dan infrastruktur backend NetNut .
• Mengerahkan Google Play Protect untuk secara otomatis mendeteksi, memperingatkan pengguna, dan menonaktifkan aplikasi yang terbukti mengintegrasikan kode proxy NetNut .

Secara terpisah, FBI menyita ratusan domain yang terkait dengan NetNut dan infrastruktur botnet Popa . FBI bahkan mengganti laman utama NetNut dengan pemberitahuan penyitaan .

Skala Luar Biasa: Setidaknya 2 Juta Perangkat dan Terus Bertambah

• Setidaknya 2 juta perangkat konsumen di seluruh dunia telah dibajak untuk merutekan lalu lintas internet melalui alamat IP residensial. Perangkat tersebut meliputi smart TV, Android TV box, ponsel, dan tablet .
• Para peneliti dari Synthient, Qurium, dan Nokia Deepfield menghubungkan botnet Popa—yang telah beroperasi selama kurang lebih empat tahun—langsung ke NetNut dan perusahaan induknya yang tercatat di bursa saham, Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield memperkirakan jaringan ini melibatkan hingga 60.000 perangkat per node relay yang tersebar di 359.000 alamat IP berbeda pada puncaknya . Bahkan, beberapa perkiraan total perangkat yang terinfeksi berkisar antara 9 hingga 26 juta perangkat .
• Pada bulan Mei 2026 saja, lebih dari 1,4 juta alamat internet menjadi sasaran lalu lintas pengumpulan data (data-scraping) yang dirutekan melalui NetNut .

316 Klaster Ancaman dalam Satu Pekan

Dalam satu minggu observasi, Google Threat Intelligence Group mendeteksi 316 klaster ancaman berbeda yang merutekan lalu lintas berbahaya melalui infrastruktur proxy NetNut . Klaster-klaster ini mencakup:

• Penipuan iklan (ad fraud)
• Serangan credential stuffing dan pembajakan akun (account takeover)
• Operasi pengumpulan data massal (data scraping)
• Kampanye phishing
• Relay komando dan kontrol (C2) malware

Bagaimana Perangkat Rumahan Menjadi Bagian dari Jaringan Ini

Google dan para peneliti mengidentifikasi dua metode infeksi utama:

1. Malware pra-instal — Perangkat Android TV box dan streaming murah yang dikirim dari pabrikan tertentu sudah mengandung malware proxy Popa/Vo1d yang tertanam di dalam firmware .
2. Kode proxy tersembunyi di dalam aplikasi — Aplikasi yang tampak sah di Google Play atau toko aplikasi pihak ketiga diam-diam mengandung SDK proxy NetNut. SDK ini secara otomatis mendaftarkan perangkat sebagai node relay tanpa sepengetahuan pengguna. Google Play Protect digunakan untuk mendeteksi dan menonaktifkan aplikasi-aplikasi ini . Para peneliti keamanan menemukan kode tersebut di sejumlah aplikasi streaming bajakan, klien torrent MediaGet, layanan VPN RoboVPN, dan klien YouTube Android TV, SmartTube .

Peringatan Google untuk Konsumen

Google memperingatkan pengguna untuk menghindari aplikasi yang menawarkan bayaran untuk bandwidth yang tidak terpakai atau mengklaim bisa "berbagi koneksi internet Anda demi hadiah". Aplikasi semacam ini adalah pintu masuk utama bagi pendaftaran proxy residensial . Konsumen disarankan untuk selalu memperbarui perangkat, menghindari pembelian Android TV box murah tak bermerek dari vendor tidak dikenal, dan memeriksa aplikasi mana saja yang memiliki izin akses jaringan.

Kaitan dengan Ekosistem Botnet yang Lebih Luas

Botnet Popa menggunakan malware turunan dari keluarga Vo1d/Mzmess, yang memiliki garis keturunan yang sama dengan varian botnet Mirai yang menargetkan perangkat IoT berbasis Android . Botnet Aisuru, botnet IoT kelas Mirai/TurboMirai, juga terlihat beralih dari serangan DDoS ke model proxy residensial pada periode yang sama, menyoroti pergeseran industri yang signifikan . Varian OMG Mirai, yang pertama kali didokumentasikan pada tahun 2018, juga telah mengubah perangkat IoT menjadi server proxy .

Konteks: Kampanye Berkelanjutan Melawan Jaringan Proxy Residensial

Tindakan ini merupakan kelanjutan langsung dari penggulingan jaringan proxy residensial IPIDEA oleh Google pada 28 Januari 2026, yang saat itu merupakan salah satu jaringan terbesar di dunia . Dalam operasi sebelumnya, Google menghilangkan domain dan akun yang digunakan IPIDEA untuk merutekan lalu lintas bagi para penjahat siber dan peretas yang didukung negara . Google menilai saat itu—dan kembali menegaskannya pada Juli 2026—bahwa industri proxy residensial secara luas masih sangat terhubung dengan ekosistem kriminal siber. Layanan papan atas seperti NetNut, LunaProxy, 711Proxy, dan 922Proxy masing-masing mengoperasikan lebih dari 1 juta node keluar (exit nodes) . Pembongkaran NetNut adalah bagian dari kampanye berkelanjutan yang juga mencakup penggulingan SocksEscort pada Maret 2026 dan pembongkaran jaringan phishing "Outsider" pada Juni 2026 .

Alarum Technologies mengeluarkan pernyataan pada 2 Juli 2026, yang menyatakan akan "bekerja sama sepenuhnya dengan penegak hukum untuk memastikan setiap penyalahgunaan infrastrukturnya diselidiki secara menyeluruh" .