Google mengambil tiga langkah konkrit:

• Melumpuhkan akaun dan perkhidmatan yang digunakan untuk operasi perintah-dan-kawal (C2) berkaitan malware NetNut .
• Berkongsi risikan teknikal dengan penguatkuasaan undang-undang, termasuk butiran mengenai kit pembangunan perisian (SDK) NetNut dan infrastruktur belakang .
• Melaksanakan Google Play Protect untuk mengesan secara automatik, memberi amaran kepada pengguna, dan melumpuhkan aplikasi yang didapati mengintegrasikan kod proksi NetNut .

Secara berasingan, FBI merampas beratus-ratus domain yang berkaitan dengan NetNut dan infrastruktur botnet Popa . FBI juga menggantikan laman utama NetNut dengan notis rampasan .

Skala Serangan: Sekurang-kurangnya 2 Juta Peranti dan Terus Berkembang

• Sekurang-kurangnya 2 juta peranti pengguna di seluruh dunia telah digodam untuk mengarahkan lalu lintas melalui alamat IP kediaman, termasuk TV pintar, kotak penstriman Android, telefon, dan tablet .
• Penyelidik dari Synthient, Qurium, dan Nokia Deepfield mengaitkan botnet Popa — yang telah beroperasi selama kira-kira empat tahun — secara langsung dengan NetNut dan syarikat induknya yang didagangkan secara awam, Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield menganggarkan rangkaian itu melibatkan sehingga 60,000 peranti setiap nod geganti merentasi 359,000 alamat IP berbeza pada puncaknya . Beberapa anggaran jumlah keseluruhan peranti yang dijangkiti mencecah antara 9 hingga 26 juta peranti .
• Pada Mei 2026 sahaja, lebih daripada 1.4 juta alamat internet telah menjadi sasaran lalu lintas pengumpulan data yang diarahkan melalui NetNut .

316 Kluster Ancaman dalam Masa Seminggu

Dalam tempoh seminggu pemerhatian, Kumpulan Perisikan Ancaman Google mengesan 316 kluster ancaman berbeza yang mengarahkan lalu lintas berniat jahat melalui infrastruktur proksi NetNut . Ini termasuk:

• Penipuan iklan
• Serangan credential stuffing dan pengambilalihan akaun
• Operasi pengumpulan data besar-besaran
• Kempen pancingan data (phishing)
• Geganti C2 perisian hasad

Bagaimana Peranti Rumah Menjadi Sebahagian daripada Rangkaian

Google dan penyelidik mengenal pasti dua kaedah jangkitan utama:

1. Perisian hasad pra-pasang — Kotak TV Android dan peranti penstriman murah yang dihantar dari pengeluar tertentu dengan perisian hasad proksi Popa/Vo1d sudah tertanam dalam perisian tegar .
2. Kod proksi tersembunyi dalam aplikasi — Aplikasi yang kelihatan sah di Gedung Google Play atau gedung pihak ketiga secara rahsia mengandungi SDK proksi NetNut, yang secara senyap mendaftarkan peranti sebagai nod geganti tanpa pengetahuan pengguna. Google Play Protect digunakan untuk mengesan dan melumpuhkan aplikasi ini . Penyelidik keselamatan menemui kod ini dalam banyak aplikasi penstriman cetak rompak, klien torrent MediaGet, perkhidmatan VPN RoboVPN, dan klien YouTube Android TV SmartTube .

Amaran Google kepada Pengguna

Google memberi amaran kepada pengguna untuk mengelakkan aplikasi yang menawarkan bayaran untuk lebar jalur yang tidak digunakan atau mendakwa "kongsi sambungan internet anda untuk ganjaran," kerana ini adalah kaedah tipikal untuk pendaftaran proksi kediaman . Pengguna dinasihatkan untuk memastikan peranti sentiasa dikemas kini, mengelakkan kotak TV Android murah tanpa jenama dari vendor yang tidak dikenali, dan menyemak aplikasi mana yang mempunyai kebenaran rangkaian.

Kaitan dengan Ekosistem Botnet yang Lebih Luas

Botnet Popa menggunakan perisian hasad yang berasal dari keluarga Vo1d/Mzmess, yang mempunyai pertalian dengan varian botnet Mirai yang menyasarkan peranti IoT berasaskan Android . Botnet Aisuru, botnet IoT kelas Mirai/TurboMirai, juga diperhatikan beralih dari serangan DDoS kepada model proksi kediaman dalam tempoh ini, menonjolkan peralihan industri secara menyeluruh . Varian OMG Mirai, yang pertama kali didokumenkan pada 2018, juga menukar peranti IoT menjadi pelayan proksi .

Konteks: Kempen Berterusan Menentang Rangkaian Proksi Kediaman

Tindakan ini adalah kesinambungan langsung daripada usaha Google pada 28 Januari 2026 yang melumpuhkan rangkaian proksi kediaman IPIDEA, salah satu rangkaian terbesar seumpamanya di dunia ketika itu . Dalam operasi tersebut, Google menghapuskan domain dan akaun yang digunakan oleh IPIDEA untuk mengarahkan lalu lintas bagi penjenayah siber dan penyerang yang disokong negara . Google menilai ketika itu — dan mengulangi pada Julai — bahawa industri proksi kediaman yang lebih luas masih mempunyai kaitan rapat dengan ekosistem jenayah siber, dengan perkhidmatan utama seperti NetNut, LunaProxy, 711Proxy, dan 922Proxy masing-masing mengendalikan lebih 1 juta nod keluar . Penggodaman NetNut adalah sebahagian daripada kempen berterusan yang turut merangkumi gangguan SocksEscort pada Mac 2026 dan pemusnahan rangkaian pancingan data "Outsider" pada Jun 2026 .

Alarum Technologies mengeluarkan kenyataan pada 2 Julai 2026, mengatakan ia akan "bekerjasama sepenuhnya dengan penguatkuasa undang-undang untuk memastikan sebarang penyalahgunaan infrastrukturnya disiasat dengan teliti" .

Google mengambil tiga langkah konkrit:

• Melumpuhkan akaun dan perkhidmatan yang digunakan untuk operasi perintah-dan-kawal (C2) berkaitan malware NetNut .
• Berkongsi risikan teknikal dengan penguatkuasaan undang-undang, termasuk butiran mengenai kit pembangunan perisian (SDK) NetNut dan infrastruktur belakang .
• Melaksanakan Google Play Protect untuk mengesan secara automatik, memberi amaran kepada pengguna, dan melumpuhkan aplikasi yang didapati mengintegrasikan kod proksi NetNut .

Secara berasingan, FBI merampas beratus-ratus domain yang berkaitan dengan NetNut dan infrastruktur botnet Popa . FBI juga menggantikan laman utama NetNut dengan notis rampasan .

Skala Serangan: Sekurang-kurangnya 2 Juta Peranti dan Terus Berkembang

• Sekurang-kurangnya 2 juta peranti pengguna di seluruh dunia telah digodam untuk mengarahkan lalu lintas melalui alamat IP kediaman, termasuk TV pintar, kotak penstriman Android, telefon, dan tablet .
• Penyelidik dari Synthient, Qurium, dan Nokia Deepfield mengaitkan botnet Popa — yang telah beroperasi selama kira-kira empat tahun — secara langsung dengan NetNut dan syarikat induknya yang didagangkan secara awam, Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield menganggarkan rangkaian itu melibatkan sehingga 60,000 peranti setiap nod geganti merentasi 359,000 alamat IP berbeza pada puncaknya . Beberapa anggaran jumlah keseluruhan peranti yang dijangkiti mencecah antara 9 hingga 26 juta peranti .
• Pada Mei 2026 sahaja, lebih daripada 1.4 juta alamat internet telah menjadi sasaran lalu lintas pengumpulan data yang diarahkan melalui NetNut .

316 Kluster Ancaman dalam Masa Seminggu

Dalam tempoh seminggu pemerhatian, Kumpulan Perisikan Ancaman Google mengesan 316 kluster ancaman berbeza yang mengarahkan lalu lintas berniat jahat melalui infrastruktur proksi NetNut . Ini termasuk:

• Penipuan iklan
• Serangan credential stuffing dan pengambilalihan akaun
• Operasi pengumpulan data besar-besaran
• Kempen pancingan data (phishing)
• Geganti C2 perisian hasad

Bagaimana Peranti Rumah Menjadi Sebahagian daripada Rangkaian

Google dan penyelidik mengenal pasti dua kaedah jangkitan utama:

1. Perisian hasad pra-pasang — Kotak TV Android dan peranti penstriman murah yang dihantar dari pengeluar tertentu dengan perisian hasad proksi Popa/Vo1d sudah tertanam dalam perisian tegar .
2. Kod proksi tersembunyi dalam aplikasi — Aplikasi yang kelihatan sah di Gedung Google Play atau gedung pihak ketiga secara rahsia mengandungi SDK proksi NetNut, yang secara senyap mendaftarkan peranti sebagai nod geganti tanpa pengetahuan pengguna. Google Play Protect digunakan untuk mengesan dan melumpuhkan aplikasi ini . Penyelidik keselamatan menemui kod ini dalam banyak aplikasi penstriman cetak rompak, klien torrent MediaGet, perkhidmatan VPN RoboVPN, dan klien YouTube Android TV SmartTube .

Amaran Google kepada Pengguna

Google memberi amaran kepada pengguna untuk mengelakkan aplikasi yang menawarkan bayaran untuk lebar jalur yang tidak digunakan atau mendakwa "kongsi sambungan internet anda untuk ganjaran," kerana ini adalah kaedah tipikal untuk pendaftaran proksi kediaman . Pengguna dinasihatkan untuk memastikan peranti sentiasa dikemas kini, mengelakkan kotak TV Android murah tanpa jenama dari vendor yang tidak dikenali, dan menyemak aplikasi mana yang mempunyai kebenaran rangkaian.

Kaitan dengan Ekosistem Botnet yang Lebih Luas

Botnet Popa menggunakan perisian hasad yang berasal dari keluarga Vo1d/Mzmess, yang mempunyai pertalian dengan varian botnet Mirai yang menyasarkan peranti IoT berasaskan Android . Botnet Aisuru, botnet IoT kelas Mirai/TurboMirai, juga diperhatikan beralih dari serangan DDoS kepada model proksi kediaman dalam tempoh ini, menonjolkan peralihan industri secara menyeluruh . Varian OMG Mirai, yang pertama kali didokumenkan pada 2018, juga menukar peranti IoT menjadi pelayan proksi .

Konteks: Kempen Berterusan Menentang Rangkaian Proksi Kediaman

Tindakan ini adalah kesinambungan langsung daripada usaha Google pada 28 Januari 2026 yang melumpuhkan rangkaian proksi kediaman IPIDEA, salah satu rangkaian terbesar seumpamanya di dunia ketika itu . Dalam operasi tersebut, Google menghapuskan domain dan akaun yang digunakan oleh IPIDEA untuk mengarahkan lalu lintas bagi penjenayah siber dan penyerang yang disokong negara . Google menilai ketika itu — dan mengulangi pada Julai — bahawa industri proksi kediaman yang lebih luas masih mempunyai kaitan rapat dengan ekosistem jenayah siber, dengan perkhidmatan utama seperti NetNut, LunaProxy, 711Proxy, dan 922Proxy masing-masing mengendalikan lebih 1 juta nod keluar . Penggodaman NetNut adalah sebahagian daripada kempen berterusan yang turut merangkumi gangguan SocksEscort pada Mac 2026 dan pemusnahan rangkaian pancingan data "Outsider" pada Jun 2026 .

Alarum Technologies mengeluarkan kenyataan pada 2 Julai 2026, mengatakan ia akan "bekerjasama sepenuhnya dengan penguatkuasa undang-undang untuk memastikan sebarang penyalahgunaan infrastrukturnya disiasat dengan teliti" .