Взлом на диване: как 2 миллиона телевизоров и Android-боксов превратили в орудие киберпреступников

2 июля 2026 года Google Threat Intelligence Group (GTIG) объявила о значительном ослаблении сети резидентных прокси NetNut (также известной как Popa). Операция была проведена совместно с ФБР и Lumen Technologies при поддержке других отраслевых партнёров . Эта скоординированная атака поразила один из крупнейших известных ботнетов, который вербовал обычную бытовую электронику в глобальную преступную ретрансляционную систему.

Google предпринял три конкретных шага:

• Заблокировал учётные записи и сервисы, используемые для управления вредоносным ПО (C2) сети NetNut .
• Передал технические разведданные правоохранительным органам, включая информацию о SDK сервиса и его внутренней инфраструктуре .
• Задействовал Google Play Protect для автоматического обнаружения, предупреждения пользователей и отключения приложений, содержащих код NetNut .

Кроме того, ФБР изъяло сотни доменов, связанных с инфраструктурой NetNut и ботнета Popa . На главной странице NetNut появилась уведомительная надпись об аресте .

Масштаб: не менее 2 миллионов устройств

• Не менее 2 миллионов потребительских устройств по всему миру были захвачены для маршрутизации трафика через домашние IP-адреса, включая умные телевизоры, Android-приставки, телефоны и планшеты .
• Исследователи из Synthient, Qurium и Nokia Deepfield связали ботнет Popa, действовавший около четырёх лет, напрямую с NetNut и его материнской публичной компанией Alarum Technologies (NASDAQ: ALAR) .
• По оценкам Nokia Deepfield, сеть включала до 60 000 устройств на один ретрансляционный узел и использовала 359 000 различных IP-адресов на пике . Некоторые оценки общего числа заражённых устройств достигали 9–26 миллионов .
• Только за май 2026 года более 1,4 миллиона интернет-адресов подверглись атакам с целью сбора данных, трафик которых проходил через NetNut .

316 угроз за одну неделю

За одну неделю наблюдения Google Threat Intelligence Group выявила 316 различных кластеров угроз, маршрутизировавших вредоносный трафик через инфраструктуру NetNut . Среди них были:

• Мошенничество в рекламе
• Подбор паролей и взлом учётных записей
• Массовый сбор данных
• Фишинговые кампании
• Ретрансляция управления вредоносным ПО

Как домашние устройства становятся частью сети

Google и исследователи выявили два основных способа заражения:

1. Предустановленное вредоносное ПО — недорогие Android TV-боксы и стриминговые устройства, поступающие от некоторых производителей с уже встроенным в прошивку прокси-вредоносным ПО Popa/Vo1d .
2. Скрытый прокси-код в приложениях — внешне легитимные приложения из Google Play или сторонних магазинов тайно содержали SDK прокси NetNut, который незаметно подключал устройство в качестве ретрансляционного узла. Google Play Protect использовался для обнаружения и отключения таких приложений . Исследователи нашли код во многих пиратских стриминговых приложениях, торрент-клиенте MediaGet, VPN-сервисе RoboVPN и Android TV-клиенте YouTube SmartTube .

Предупреждение Google потребителям

Google предупредил пользователей избегать приложений, которые предлагают плату за неиспользуемый трафик или заявляют о возможности «делиться интернет-соединением за вознаграждение», так как это обычный способ внедрения резидентных прокси . Потребителям рекомендовано обновлять устройства, избегать дешёвых небрендовых Android TV-боксов от неизвестных продавцов и проверять, какие приложения имеют разрешения на работу с сетью.

Связь с более широкой экосистемой ботнетов

Ботнет Popa использовал вредоносное ПО, производное от семейства Vo1d/Mzmess, которое имеет общее происхождение с вариантами ботнета Mirai, нацеленными на Android-устройства Интернета вещей . В этот же период также наблюдался переход ботнета Aisuru (класса Mirai/TurboMirai) от DDoS-атак к модели резидентных прокси, что подчёркивает общеотраслевой сдвиг . Вариант OMG Mirai, впервые задокументированный в 2018 году, также превращал устройства IoT в прокси-серверы .

Контекст: продолжающаяся кампания против сетей резидентных прокси

Эта акция является прямым продолжением проведённого 28 января 2026 года вмешательства Google в работу сети резидентных прокси IPIDEA, которая на тот момент была одной из крупнейших в мире . В той операции Google ликвидировал домены и учётные записи, используемые IPIDEA для маршрутизации трафика киберпреступников и спонсируемых государствами злоумышленников . Ещё тогда Google оценил — и подтвердил в июле — что в целом индустрия резидентных прокси остаётся глубоко связана с киберпреступной экосистемой, а такие крупные сервисы, как NetNut, LunaProxy, 711Proxy и 922Proxy, эксплуатируют более 1 миллиона выходных узлов каждый . Ликвидация NetNut стала частью продолжающейся кампании, которая также включала нарушение работы SocksEscort в марте 2026 года и ликвидацию фишинговой сети «Outsider» в июне 2026 года .

Компания Alarum Technologies выступила с заявлением 2 июля 2026 года, пообещав «полностью сотрудничать с правоохранительными органами, чтобы любое неправомерное использование её инфраструктуры было тщательно расследовано» .