구글·FBI·루멘, 200만대 가전제품 좀비화한 ‘넷넛’ 봇넷 대규모 타격 — 스마트TV·안드로이드 셋톱박스가 범죄 프록시로

2026년 7월 2일, 구글 위협 인텔리전스 그룹(GTIG)이 넷넛(NetNut) 주거용 프록시 네트워크(내부 코드명 Popa)를 대폭 무력화했다고 발표했습니다. 이번 작전은 FBI 및 루멘 테크놀로지스(Lumen Technologies) 등 업계 파트너와의 공조로 이루어졌습니다 . 이번 합동 타격은 일반 가전기기를 글로벌 사이버 범죄 중계망으로 전환시킨 사상 최대 규모의 봇넷 중 하나를 무력화한 것으로 평가됩니다.

구글은 세 가지 구체적 조치를 취했습니다:

• 넷넛 관련 악성코드 명령 및 제어(C2) 작전에 사용된 계정과 서비스 차단
• 넷넛의 소프트웨어 개발 키트(SDK) 및 백엔드 인프라에 관한 기술 정보를 수사 기관과 공유
• Google Play Protect를 통해 넷넛의 프록시 코드가 포함된 앱을 자동 탐지, 사용자 경고 및 차단

또한 FBI는 넷넛 및 Popa 봇넷 인프라와 관련된 수백 개의 도메인을 압수했습니다 . FBI는 넷넛의 홈페이지를 압수 통지문으로 교체했습니다 .

규모: 최소 200만대, 그리고 계속 증가

• 전 세계 최소 200만대의 소비자 기기가 주거용 IP 주소를 통해 트래픽을 중계하도록 하이재킹되었으며, 여기에는 스마트TV, 안드로이드 스트리밍 박스, 스마트폰, 태블릿 등이 포함됩니다 .
• Synthient, Qurium, Nokia Deepfield의 연구원들은 약 4년간 운영된 Popa 봇넷을 넷넷 및 그 모회사인 Alarum Technologies(NASDAQ: ALAR)와 직접 연결했습니다 .
• Nokia Deepfield는 이 네트워크가 최대 노드당 6만 대의 기기와 35만 9천 개의 개별 IP 주소로 구성된 것으로 추정했습니다 . 일부 감염 기기 총계 추정치는 900만에서 2,600만 대에 달했습니다 .
• 2026년 5월에만 140만 개 이상의 인터넷 주소가 넷넷을 통해 라우팅된 데이터 스크래핑 트래픽의 표적이 되었습니다 .

단 1주일 만에 316개 위협 클러스터 적발

관찰 단 1주일 만에 구글 위협 인텔리전스 그룹은 넷넷 프록시 인프라를 통해 악성 트래픽을 라우팅하는 316개의 개별 위협 클러스터를 탐지했습니다 . 여기에는 다음이 포함됩니다:

• 광고 사기
• 크리덴셜 스터핑(credential stuffing) 및 계정 탈취
• 대량 데이터 스크래핑 작전
• 피싱 캠페인
• 악성코드 C2 중계

가정용 기기가 네트워크에 편입되는 경로

구글과 연구원들은 두 가지 주요 감염 경로를 확인했습니다:

1. 사전 설치된 악성코드 — 특정 제조사의 저가형 안드로이드 TV 박스 및 스트리밍 기기에 Popa/Vo1d 프록시 악성코드가 이미 펌웨어에 내장되어 출하됨 .
2. 앱 속 숨겨진 프록시 코드 — Google Play 또는 타사 스토어의 겉보기 정상 앱에 넷넷의 프록시 SDK가 비밀리에 포함되어 사용자 모르게 기기를 중계 노드로 등록함. Google Play Protect가 이러한 앱을 탐지 및 차단하는 데 사용되었습니다 . 보안 연구원들은 수많은 불법 스트리밍 앱, 토렌트 클라이언트 MediaGet, VPN 서비스 RoboVPN, 안드로이드 TV 유튜브 클라이언트 SmartTube에서도 이 코드를 발견했습니다 .

구글의 소비자 경고

구글은 사용하지 않는 대역폭에 대한 대가를 지급하거나 "보상을 위해 인터넷 연결을 공유하라"고 유도하는 앱을 피하라고 경고했습니다. 이러한 앱은 주거용 프록시 가입을 위한 트로이 목마로 흔히 사용되기 때문입니다 . 소비자는 기기를 최신 상태로 유지하고, 알 수 없는 업체의 값싼 무브랜드 안드로이드 TV 박스를 피하며, 어떤 앱에 네트워크 권한이 있는지 확인하라는 조언을 받았습니다.

광범위한 봇넷 생태계와의 연결

Popa 봇넷은 안드로이드 기반 IoT 기기를 표적으로 하는 Mirai 봇넷 변종과 계통을 공유하는 Vo1d/Mzmess군에서 파생된 악성코드를 사용했습니다 . Aisuru 봇넷(Mirai/TurboMirai 계열 IoT 봇넷) 역시 이 기간 동안 DDoS 공격에서 주거용 프록시 모델로 전환하는 것이 관찰되어 업계 전반의 변화를 보여줍니다 . 2018년 처음 문서화된 OMG Mirai 변종 역시 IoT 기기를 프록시 서버로 전환한 사례입니다 .

맥락: 주거용 프록시 네트워크에 대한 지속적인 캠페인

이번 조치는 구글이 2026년 1월 28일 단행한 IPIDEA 주거용 프록시 네트워크 무력화의 직접적인 연장선에 있습니다 . 당시 구글은 사이버 범죄자와 국가 지원 해커의 트래픽을 라우팅하는 데 사용된 IPIDEA의 도메인과 계정을 제거했습니다 . 구글은 당시 — 그리고 7월에도 재확인했지만 — 광범위한 주거용 프록시 업계가 사이버 범죄 생태계와 깊이 연결되어 있으며, NetNut, LunaProxy, 711Proxy, 922Proxy 같은 주요 서비스가 각각 100만 개 이상의 종료 노드를 운영하고 있다고 평가했습니다 . NetNut 타격은 2026년 3월 SocksEscort 무력화 및 2026년 6월 'Outsider' 피싱 네트워크 타격 을 포함한 지속적인 캠페인의 일부였습니다.

Alarum Technologies는 2026년 7월 2일 성명을 통해 "인프라의 오용 가능성에 대한 철저한 조사를 위해 법 집행 기관에 전면 협조할 것"이라고 밝혔습니다 .