Slik ble NetNut-botnettet tatt ned: Google, FBI og Lumen avbrøt et 2-millioners proxy-nettverk

Koordinert aksjon mot NetNut-botnettet

Den 2. juli 2026 kunngjorde Googles Threat Intelligence Group (GTIG) at de, i partnerskap med FBI og Lumen Technologies (sammen med andre industripartnere), hadde svekket NetNut-boligproxynettverket betydelig. Dette nettverket er også kjent internt som Popa . Aksjonen rammet et av de største kjente botnettene som rekrutterer vanlige hjemmeelektronikk til et globalt cyberkriminalitets-relésystem.

Google gjennomførte tre konkrete tiltak:

• Deaktiverte kontoer og tjenester brukt for kommando-og-kontroll (C2) relatert til NetNut-skadevare .
• Delte teknisk etterretning med politimyndigheter, inkludert detaljer om NetNuts programvareutviklingssett (SDK) og backend-infrastruktur .
• Brukte Google Play Protect for automatisk å oppdage, varsle brukere og deaktivere apper som inneholdt NetNuts proxy-kode .

I tillegg beslagla FBI hundrevis av domener knyttet til NetNut og Popa-botnettinfrastrukturen . FBI erstattet også NetNuts hjemmeside med en beslagleggelsesmelding .

Omfanget: Minst 2 millioner enheter – og økende

• Minst 2 millioner forbrukerenheter over hele verden ble kapret for å dirigere trafikk gjennom bolig-IP-adresser, inkludert smart-TV-er, Android-strømmebokser, mobiler og nettbrett .
• Forskere fra Synthient, Qurium og Nokia Deepfield koblet Popa-botnettet – som hadde vært i drift i omtrent fire år – direkte til NetNut og dets børsnoterte morselskap Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield estimerte at nettverket involverte opptil 60 000 enheter per relé-node på tvers av 359 000 distinkte IP-adresser på det meste . Noen estimater for den totale infiserte puljen varierte fra 9 til 26 millioner enheter .
• Bare i mai 2026 ble mer enn 1,4 millioner internettadresser truffet av dataskrapingstrafikk dirigert gjennom NetNut .

316 trussel-klynger på én uke

I løpet av én enkelt uke med observasjon oppdaget Googles Threat Intelligence Group 316 distinkte trussel-klynger som dirigerte ondsinnet trafikk gjennom NetNut-proxyinfrastrukturen . Disse inkluderte:

• Reklamebedrageri
• Kontostuffing og kontokapring
• Massiv dataskraping
• Phishing-kampanjer
• Skadevare-C2-videreformidling

Hvordan hjemmeenheter blir en del av nettverket

Google og forskerne identifiserte to primære infeksjonsmetoder:

1. Forhåndsinstallert skadevare – Billige Android-TV-bokser og strømmeenheter fra enkelte produsenter kom med Popa/Vo1d-proxyskadevare allerede innebygd i fastvaren .
2. Skjult proxy-kode i apper – Tilsynelatende legitime apper på Google Play eller tredjepartsbutikker inneholdt hemmelig NetNuts proxy-SDK, som stille registrerte enheten som en relé-node uten brukerens viten. Google Play Protect ble brukt for å oppdage og deaktivere disse appene . Sikkerhetsforskere fant koden i en rekke piratkopierte strømmeapper, torrent-klienten MediaGet, VPN-tjenesten RoboVPN og Android TV YouTube-klienten SmartTube .

Googles advarsel til forbrukere

Google advarte brukere mot å laste ned apper som tilbyr betaling for ubrukt båndbredde eller hevder å "dele internettilkoblingen din for belønning", da dette er en vanlig inngangsport for rekruttering til bolig-proxynetwerk . Forbrukere ble rådet til å holde enheter oppdatert, unngå billige, umerkede Android-TV-bokser fra ukjente leverandører, og sjekke hvilke apper som har nettilgang.

Kobling til det bredere botnett-økosystemet

Popa-botnettet brukte skadevare avledet fra Vo1d/Mzmess-familien, som deler slektskap med Mirai-botnettvarianter som retter seg mot Android-baserte IoT-enheter . Aisuru-botnettet, et Mirai/TurboMirai-klasse IoT-botnett, ble også observert i å skifte fra DDoS-angrep til bolig-proxymodeller i denne perioden, noe som understreker en bransjeomfattende trend . OMG Mirai-varianten, først dokumentert i 2018, gjorde på samme måte IoT-enheter om til proxy-servere .

Kontekst: En pågående kampanje mot bolig-proxynetwerk

Denne aksjonen bygger direkte på Googles nedtagelse av IPIDEA-boligproxynettverket 28. januar 2026, et av de største slike nettverkene globalt på den tiden . I den operasjonen eliminerte Google domener og kontoer brukt av IPIDEA for å dirigere trafikk for cyberkriminelle og statssponsede angripere . Google vurderte da – og bekreftet i juli – at den bredere bolig-proxyindustrien forblir dypt forbundet med cyberkriminelle økosystemer, med topptjenester som NetNut, LunaProxy, 711Proxy og 922Proxy som hver opererer over 1 million utgangsnoder . NetNut-nedtagelsen var del av en pågående kampanje som også inkluderte nedtagelsen av SocksEscort i mars 2026 og nedtagelsen av "Outsider"-fiskenettverket i juni 2026 .

Alarum Technologies sendte ut en uttalelse 2. juli 2026, der de sa at de ville "samarbeide fullt ut med politimyndighetene for å sikre at ethvert misbruk av deres infrastruktur blir grundig etterforsket" .