Derrubada do Botnet NetNut: Como Google, FBI e Lumen Desmantelaram Rede de 2 Milhões de Dispositivos

No dia 2 de julho de 2026, o Google Threat Intelligence Group (GTIG) anunciou que degradou significativamente a rede de proxies residenciais NetNut (também conhecida como Popa), em uma operação conjunta com o FBI e a Lumen Technologies, além de outros parceiros do setor . A ação coordenada atingiu um dos maiores botnets conhecidos por aliciar eletrônicos domésticos comuns em um sistema global de retransmissão para o crime cibernético.

O Google tomou três medidas concretas:

• Desabilitou contas e serviços usados para operações de comando e controle (C2) de malware relacionado ao NetNut .
• Compartilhou inteligência técnica com as autoridades, incluindo detalhes sobre o kit de desenvolvimento de software (SDK) e a infraestrutura de back-end do NetNut .
• Acionou o Google Play Protect para detectar, alertar usuários e desabilitar aplicativos que integravam o código de proxy do NetNut .

Separadamente, o FBI apreendeu centenas de domínios associados ao NetNut e à infraestrutura do botnet Popa . O FBI também substituiu a página inicial do NetNut por um aviso de apreensão .

A Escala: Pelo Menos 2 Milhões de Dispositivos e Crescendo

• Pelo menos 2 milhões de dispositivos de consumo em todo o mundo foram sequestrados para rotear tráfego através de endereços IP residenciais, incluindo Smart TVs, aparelhos Android de streaming, celulares e tablets .
• Pesquisadores da Synthient, Qurium e Nokia Deepfield ligaram o botnet Popa — que operava há cerca de quatro anos — diretamente ao NetNut e sua empresa-mãe de capital aberto, a Alarum Technologies (NASDAQ: ALAR) .
• A Nokia Deepfield estimou que a rede envolvia até 60.000 dispositivos por nó de retransmissão, distribuídos em 359.000 endereços IP distintos no pico de operação . Algumas estimativas do total de dispositivos infectados variam de 9 a 26 milhões .
• Somente em maio de 2026, mais de 1,4 milhão de endereços de internet foram atingidos por tráfego de raspagem de dados roteado pelo NetNut .

316 Grupos de Ameaças em Uma Única Semana

Em uma única semana de observação, o Google Threat Intelligence Group detectou 316 grupos de ameaças distintos roteando tráfego malicioso pela infraestrutura de proxy do NetNut . Estes incluíam:

• Fraude publicitária
• Roubo de credenciais (credential stuffing) e invasões de contas
• Operações de raspagem massiva de dados
• Campanhas de phishing
• Retransmissão de C2 de malware

Como Dispositivos Domésticos se Tornam Parte da Rede

O Google e pesquisadores identificaram dois métodos principais de infecção:

1. Malware pré-instalado — Aparelhos Android TV de baixo custo e dispositivos de streaming enviados por certos fabricantes já com o malware de proxy Popa/Vo1d embutido no firmware .
2. Código de proxy oculto em aplicativos — Aplicativos aparentemente legítimos na Google Play ou em lojas de terceiros continham secretamente o SDK de proxy do NetNut, que inscrevia silenciosamente o dispositivo como um nó de retransmissão sem o conhecimento do usuário. O Google Play Protect foi usado para detectar e desabilitar esses aplicativos . Pesquisadores de segurança encontraram o código em vários aplicativos de streaming pirata, no cliente de torrent MediaGet, no serviço VPN RoboVPN e no cliente YouTube para Android TV SmartTube .

Alerta do Google aos Consumidores

O Google alertou os usuários para evitarem aplicativos que ofereçam pagamento por largura de banda não utilizada ou que afirmem "compartilhe sua conexão de internet por recompensas", pois estas são uma porta de entrada comum para o alistamento em proxies residenciais . Os consumidores foram aconselhados a manter os dispositivos atualizados, evitar aparelhos Android TV baratos e sem marca de vendedores desconhecidos, e verificar quais aplicativos têm permissões de rede.

Conexão com o Ecossistema Mais Amplo de Botnets

O botnet Popa utilizava malware derivado da família Vo1d/Mzmess, que compartilha linhagem com variantes do botnet Mirai que visam dispositivos IoT baseados em Android . O botnet Aisuru, um botnet IoT da classe Mirai/TurboMirai, também foi observado migrando de ataques DDoS para modelos de proxy residenciais durante este período, destacando uma mudança na indústria . A variante OMG Mirai, documentada pela primeira vez em 2018, de forma semelhante transformava dispositivos IoT em servidores proxy .

Contexto: Uma Campanha Contínua Contra Redes de Proxy Residenciais

Esta ação baseia-se diretamente na interrupção da rede de proxies residenciais IPIDEA pelo Google em 28 de janeiro de 2026, uma das maiores redes desse tipo na época . Naquela operação, o Google eliminou domínios e contas usados pela IPIDEA para rotear tráfego para cibercriminosos e atacantes patrocinados por estados . O Google avaliou na ocasião — e reafirmou em julho — que a indústria mais ampla de proxies residenciais permanece profundamente conectada a ecossistemas criminosos cibernéticos, com serviços de alto nível como NetNut, LunaProxy, 711Proxy e 922Proxy operando cada um com mais de 1 milhão de nós de saída . A derrubada do NetNut fez parte de uma campanha contínua que também incluiu a interrupção do SocksEscort em março de 2026 e a derrubada da rede de phishing "Outsider" em junho de 2026 .

A Alarum Technologies emitiu um comunicado em 2 de julho de 2026, afirmando que "cooperará plenamente com as autoridades para garantir que qualquer uso indevido de sua infraestrutura seja completamente investigado" .