Operazione congiunta Google-FBI-Lumen: smantellata la botnet NetNut che aveva infettato 2 milioni di dispositivi nel mondo

Il 2 luglio 2026, il Google Threat Intelligence Group (GTIG) ha annunciato di aver inflitto un duro colpo alla rete proxy residenziale NetNut (nota anche internamente come Popa), operando in collaborazione con l'FBI e Lumen Technologies, insieme ad altri partner del settore . L'azione coordinata ha colpito una delle più grandi botnet conosciute, che arruolava dispositivi elettronici domestici comuni in un sistema globale di riciclaggio del traffico informatico.

Google ha adottato tre misure concrete:

• Disabilitato account e servizi utilizzati per le operazioni di comando e controllo (C2) del malware legato a NetNut .
• Condiviso intelligence tecnica con le forze dell'ordine, inclusi dettagli sull'SDK (Software Development Kit) e l'infrastruttura backend di NetNut .
• Distribuito Google Play Protect per rilevare automaticamente, avvisare gli utenti e disabilitare le app che integravano il codice proxy di NetNut .

Separatamente, l'FBI ha sequestrato centinaia di domini associati all'infrastruttura di NetNut e della botnet Popa . L'FBI ha anche sostituito la homepage di NetNut con un avviso di sequestro .

Le Dimensioni: Almeno 2 Milioni di Dispositivi e in Crescita

• Almeno 2 milioni di dispositivi consumer in tutto il mondo sono stati dirottati per instradare il traffico attraverso indirizzi IP residenziali, inclusi smart TV, box Android, telefoni e tablet .
• Ricercatori di Synthient, Qurium e Nokia Deepfield hanno collegato la botnet Popa — operativa da circa quattro anni — direttamente a NetNut e alla sua società madre quotata in borsa Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield ha stimato che la rete coinvolgesse fino a 60.000 dispositivi per nodo di inoltro distribuiti su 359.000 indirizzi IP distinti al picco . Alcune stime del totale dei dispositivi infetti variavano da 9 a 26 milioni .
• Solo a maggio 2026, oltre 1,4 milioni di indirizzi internet sono stati colpiti da traffico di data-scraping instradato attraverso NetNut .

316 Cluster di Minacce in una Singola Settimana

In una sola settimana di osservazione, il Google Threat Intelligence Group ha rilevato 316 distinti cluster di minacce che instradavano traffico malevolo attraverso l'infrastruttura proxy di NetNut . Questi includevano:

• Frode pubblicitaria (ad fraud)
• Credential stuffing e furto di account
• Operazioni di data-scraping di massa
• Campagne di phishing
• Relè di comando e controllo (C2) per malware

Come i Dispositivi Domestici Diventano Parte della Rete

Google e i ricercatori hanno identificato due metodi di infezione principali:

1. Malware preinstallato — Smart TV box Android a basso costo e dispositivi di streaming spediti da alcuni produttori con il malware proxy Popa/Vo1d già incorporato nel firmware .
2. Codice proxy nascosto nelle app — App apparentemente legittime su Google Play o store di terze parti contenevano segretamente l'SDK proxy di NetNut, che arruolava silenziosamente il dispositivo come nodo di inoltro all'insaputa dell'utente. Google Play Protect è stato utilizzato per rilevare e disabilitare queste app . I ricercatori di sicurezza hanno trovato il codice in numerose app di streaming piratate, nel client torrent MediaGet, nel servizio VPN RoboVPN e nel client YouTube per Android TV SmartTube .

L'Avvertimento di Google ai Consumatori

Google ha avvertito gli utenti di evitare le app che offrono pagamenti per la larghezza di banda inutilizzata o che dichiarano di "condividere la tua connessione internet per ricompense", poiché questi sono un comune cavallo di Troia per l'arruolamento in proxy residenziali . Si consiglia ai consumatori di mantenere i dispositivi aggiornati, evitare smart TV box economici e senza marchio provenienti da venditori sconosciuti e controllare quali app hanno permessi di rete.

Collegamento all'Ecosistema Più Vasto delle Botnet

La botnet Popa utilizzava un malware derivato dalla famiglia Vo1d/Mzmess, che condivide la discendenza con varianti della botnet Mirai che prendono di mira dispositivi IoT Android . Anche la botnet Aisuru, una botnet IoT di classe Mirai/TurboMirai, è stata osservata mentre si trasformava da attacchi DDoS a modelli di proxy residenziali durante questo periodo, evidenziando un cambiamento a livello di settore . La variante OMG Mirai, documentata per la prima volta nel 2018, ha trasformato i dispositivi IoT in server proxy .

Contesto: Una Campagna Continua Contro le Reti Proxy Residenziali

Questa azione si basa direttamente sullo smantellamento del 28 gennaio 2026 della rete proxy residenziale IPIDEA da parte di Google, una delle più grandi reti di questo tipo a livello globale all'epoca . In quell'operazione, Google ha eliminato domini e account utilizzati da IPIDEA per instradare il traffico per criminali informatici e attori sponsorizzati da stati . Google ha valutato allora — e ribadito a luglio — che il più ampio settore delle proxy residenziali rimane profondamente connesso agli ecosistemi criminali informatici, con servizi di alto livello come NetNut, LunaProxy, 711Proxy e 922Proxy che gestiscono ciascuno oltre 1 milione di nodi di uscita . Lo smantellamento di NetNut fa parte di una campagna continua che ha incluso anche l'interruzione di SocksEscort nel marzo 2026 e lo smantellamento della rete di phishing "Outsider" nel giugno 2026 .

Alarum Technologies ha rilasciato una dichiarazione il 2 luglio 2026, affermando che avrebbe "cooperato pienamente con le forze dell'ordine per garantire che qualsiasi uso improprio della sua infrastruttura sia indagato a fondo" .