Mega-operatie tegen NetNut-botnet: zo werden 2 miljoen smart-tv’s en streamingboxes ingezet voor cybercriminaliteit

Op 2 juli 2026 maakte Google's Threat Intelligence Group (GTIG) bekend dat het, samen met de FBI en Lumen Technologies, het NetNut-residentiële proxynetwerk (ook bekend als Popa) aanzienlijk had ontwricht . De gecoördineerde actie trof een van de grootste bekende botnets die gewone huishoudelijke apparaten inzet voor een wereldwijd cybercrimineel relaysysteem.

Google zette drie concrete stappen:

• Accounts en diensten uitschakelen die werden gebruikt voor malware-command-and-control (C2)-operaties van NetNut .
• Technische inlichtingen delen met wetshandhaving, waaronder details over de software development kit (SDK) en backend-infrastructuur van NetNut .
• Google Play Protect inzetten om apps die de proxyscode van NetNut bevatten automatisch te detecteren, gebruikers te waarschuwen en de apps uit te schakelen .

Daarnaast nam de FBI honderden domeinen in beslag die aan NetNut en de Popa-botnet-infrastructuur waren gekoppeld . De FBI verving ook de homepage van NetNut door een inbeslagnamekennisgeving .

De omvang: minstens 2 miljoen apparaten en groeiend

• Minstens 2 miljoen consumentenapparaten wereldwijd werden gekaapt om verkeer via residentiële IP-adressen te routen, waaronder smart-tv's, Android-streamingboxen, telefoons en tablets .
• Onderzoekers van Synthient, Qurium en Nokia Deepfield legden een direct verband tussen het Popa-botnet – dat ongeveer vier jaar actief was – en NetNut en het beursgenoteerde moederbedrijf Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield schatte dat het netwerk op zijn piek tot 60.000 apparaten per relaynode omvatte, verspreid over 359.000 verschillende IP-adressen . Sommige schattingen van het totale aantal geïnfecteerde apparaten liepen uiteen van 9 tot 26 miljoen .
• Alleen al in mei 2026 werden meer dan 1,4 miljoen internetadressen getroffen door datascraping-verkeer dat via NetNut werd gerouteerd .

316 dreigingsclusters in één week

In één week observatie detecteerde Google's Threat Intelligence Group 316 verschillende dreigingsclusters die kwaadaardig verkeer via de NetNut-proxy-infrastructuur routerden . Deze omvatten:

• Advertentiefraude
• Credential stuffing en account-overnames
• Massale datascraping-operaties
• Phishingcampagnes
• Malware-C2-relay

Hoe huishoudelijke apparaten onderdeel worden van het netwerk

Google en onderzoekers identificeerden twee primaire infectiemethoden:

1. Vooraf geïnstalleerde malware – Goedkope Android TV-boxen en streamingapparaten die door bepaalde fabrikanten werden verzonden met de Popa/Vo1d-proxymalware al in de firmware ingebed .
2. Verborgen proxycode in apps – Ogenschijnlijk legitieme apps in Google Play of app-winkels van derden bevatten stiekem de proxysDK van NetNut, die het apparaat zonder medeweten van de gebruiker inschreef als relaynode. Google Play Protect werd ingezet om deze apps te detecteren en uit te schakelen . Beveiligingsonderzoekers vonden de code in tal van illegale streamingapps, de torrentclient MediaGet, de VPN-dienst RoboVPN en de Android TV YouTube-client SmartTube .

Google's waarschuwing aan consumenten

Google waarschuwde gebruikers om apps te vermijden die betaling aanbieden voor ongebruikte bandbreedte of beweren "je internetverbinding te delen voor beloningen", aangezien dit een veelgebruikte truc is voor rekrutering voor residentiële proxies . Consumenten werd geadviseerd om apparaten up-to-date te houden, goedkope onbranded Android TV-boxen van onbekende leveranciers te vermijden en te controleren welke apps netwerktoestemmingen hebben.

Verband met het bredere botnet-ecosysteem

Het Popa-botnet gebruikte malware afkomstig van de Vo1d/Mzmess-familie, die verwant is aan Mirai-botnetvarianten die zich richten op Android-gebaseerde IoT-apparaten . Het Aisuru-botnet, een Mirai/TurboMirai-klasse IoT-botnet, werd in deze periode ook opgemerkt bij het overschakelen van DDoS-aanvallen naar residentiële proxymodellen, wat een bredere verschuiving in de sector benadrukt . De OMG Mirai-variant, voor het eerst gedocumenteerd in 2018, veranderde IoT-apparaten eveneens in proxyservers .

Context: een voortdurende campagne tegen residentiële proxynetwerken

Deze actie bouwt direct voort op Google's verstoring van het IPIDEA-residentiële proxynetwerk op 28 januari 2026, destijds een van de grootste dergelijke netwerken ter wereld . Bij die operatie schakelde Google domeinen en accounts uit die door IPIDEA werden gebruikt om verkeer te routen voor cybercriminelen en door staten gesteunde aanvallers . Google stelde toen vast – en bevestigde in juli – dat de bredere residentiële proxy-industrie diep verbonden blijft met cybercriminele ecosystemen, waarbij toptiensten zoals NetNut, LunaProxy, 711Proxy en 922Proxy elk meer dan 1 miljoen exitnodes beheren . De NetNut-takedown maakt deel uit van een voortdurende campagne die ook de verstoring van SocksEscort in maart 2026 en de uitschakeling van het "Outsider"-phishingnetwerk in juni 2026 omvatte .

Alarum Technologies gaf op 2 juli 2026 een verklaring uit waarin het zei "volledig mee te werken met wetshandhaving om ervoor te zorgen dat elk misbruik van zijn infrastructuur grondig wordt onderzocht" .