Rozbicie botnetu NetNut: 2 miliony urządzeń gospodarstwa domowego służyło cyberprzestępcom

2 lipca 2026 roku Google Threat Intelligence Group (GTIG) ogłosiło, że we współpracy z FBI i Lumen Technologies (m.in.) znacząco osłabiło działanie sieci rezydencyjnych proxy NetNut (znanej wewnętrznie jako Popa) . Była to jedna z największych znanych botnetów, która wciągała zwykłe domowe urządzenia elektroniczne do globalnego systemu przekaźników cyberprzestępczych.

Google podjęło trzy konkretne kroki:

• Wyłączyło konta i usługi wykorzystywane do operacji dowodzenia i kontroli (C2) złośliwego oprogramowania związanego z NetNut .
• Udostępniło dane techniczne organom ścigania, w tym szczegóły dotyczące zestawu SDK NetNut i infrastruktury backendowej .
• Wdrożyło Google Play Protect, który automatycznie wykrywał, ostrzegał użytkowników i wyłączał aplikacje zawierające kod proxy NetNut .

Oddzielnie FBI przejęło setki domen powiązanych z infrastrukturą NetNut i botnetu Popa . FBI zastąpiło także stronę główną NetNut informacją o zajęciu .

Skala: co najmniej 2 miliony urządzeń (i rośnie)

• Co najmniej 2 miliony urządzeń konsumenckich na całym świecie zostało przejętych do przekazywania ruchu przez adresy IP z gospodarstw domowych, w tym smart TV, dekodery z Androidem, telefony i tablety .
• Badacze z Synthient, Qurium i Nokia Deepfield powiązali botnet Popa – działający od około czterech lat – bezpośrednio z NetNut i jego publicznie notowaną spółką matką Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield oszacowała, że sieć obejmowała do 60 000 urządzeń na węzeł przekaźnikowy w szczytowym momencie, działając z 359 000 odrębnych adresów IP . Niektóre szacunki całkowitej puli zainfekowanych urządzeń sięgały od 9 do 26 milionów .
• Tylko w maju 2026 roku ponad 1,4 miliona adresów internetowych zostało zaatakowanych ruchem zbierania danych kierowanym przez NetNut .

316 grup przestępczych w jeden tydzień

W ciągu jednego tygodnia obserwacji Google Threat Intelligence Group wykryło 316 odrębnych grup przestępczych kierujących złośliwy ruch przez infrastrukturę proxy NetNut . Obejmowały one:

• Oszustwa reklamowe
• Kradzieże danych logowania (credential stuffing) i przejmowanie kont
• Masowe operacje zbierania danych (web scraping)
• Kampanie phishingowe
• Przekazywanie ruchu dla złośliwego oprogramowania (C2 relay)

Jak urządzenia domowe stają się częścią sieci

Google i badacze zidentyfikowali dwie główne metody infekcji:

1. Złośliwe oprogramowanie preinstalowane – niedrogie dekodery z Androidem i urządzenia streamingowe wysyłane z niektórych fabryk z już wgranym w firmware złośliwym oprogramowaniem proxy Popa/Vo1d .
2. Ukryty kod proxy w aplikacjach – pozornie legalne aplikacje w Google Play lub zewnętrznych sklepach potajemnie zawierały SDK proxy NetNut, które włączało urządzenie jako węzeł przekaźnikowy bez wiedzy użytkownika. Google Play Protect został użyty do wykrywania i wyłączania tych aplikacji . Badacze bezpieczeństwa znaleźli ten kod w licznych pirackich aplikacjach streamingowych, kliencie torrentowym MediaGet, serwisie VPN RoboVPN oraz w kliencie YouTube dla Android TV o nazwie SmartTube .

Ostrzeżenie Google dla konsumentów

Google ostrzegło użytkowników przed aplikacjami oferującymi zapłatę za niewykorzystane pasmo lub twierdzącymi, że „dzielisz swoje łącze internetowe w zamian za nagrody”, ponieważ jest to powszechny sposób na wciągnięcie urządzenia do rezydencyjnej sieci proxy . Konsumentom zalecono aktualizowanie urządzeń, unikanie tanich, nienazwanych dekoderów z Androidem od nieznanych sprzedawców oraz sprawdzanie, które aplikacje mają uprawnienia sieciowe.

Związek z szerszym ekosystemem botnetów

Botnet Popa używał złośliwego oprogramowania wywodzącego się z rodziny Vo1d/Mzmess, która ma wspólne korzenie z wariantami botnetu Mirai atakującymi urządzenia IoT oparte na Androidzie . Zaobserwowano również, że botnet Aisuru (klasy Mirai/TurboMirai) w tym okresie przestawił się z ataków DDoS na model rezydencyjnych proxy, co podkreśla trend w całej branży . Wariant OMG Mirai, udokumentowany po raz pierwszy w 2018 roku, również przekształcał urządzenia IoT w serwery proxy .

Kontekst: ciągła kampania przeciwko sieciom rezydencyjnych proxy

To działanie opiera się bezpośrednio na zakłóceniu sieci rezydencyjnych proxy IPIDEA przez Google 28 stycznia 2026 roku – jednej z największych takich sieci na świecie w tamtym czasie . W ramach tej operacji Google wyeliminowało domeny i konta wykorzystywane przez IPIDEA do kierowania ruchem dla cyberprzestępców i sponsorowanych przez państwa atakujących . Google oceniło wtedy – i potwierdziło w lipcu – że szersza branża rezydencyjnych proxy pozostaje głęboko powiązana z ekosystemami cyberprzestępczymi, a najlepsze usługi, takie jak NetNut, LunaProxy, 711Proxy i 922Proxy, dysponują każda ponad 1 milionem węzłów wyjściowych . Przejęcie NetNut było częścią ciągłej kampanii, która obejmowała również zakłócenie działania SocksEscort w marcu 2026 oraz likwidację sieci phishingowej „Outsider” w czerwcu 2026 .

Firma Alarum Technologies wydała 2 lipca 2026 roku oświadczenie, w którym zobowiązała się do „pełnej współpracy z organami ścigania w celu dokładnego zbadania wszelkiego niewłaściwego wykorzystania jej infrastruktury” .