Google vidtog tre konkreta åtgärder:

• Stängde ner konton och tjänster som använts för malware-relaterad kommando- och kontrollverksamhet (C2) .
• Delade teknisk underrättelseinformation med brottsbekämpande myndigheter, inklusive detaljer om NetNuts SDK (mjukvaruutvecklingskit) och bakomliggande infrastruktur .
• Aktiverade Google Play Protect för att automatiskt upptäcka, varna användare och inaktivera appar som visade sig integrera NetNuts proxy-kod .

Parallellt beslagtog FBI hundratals domäner kopplade till NetNut och Popa-botnätets infrastruktur . FBI ersatte även NetNuts startsida med ett beslagmeddelande .

Skalan: Minst 2 miljoner enheter – och växande

• Minst 2 miljoner konsumentenheter världen över kapades för att dirigera trafik genom privata IP-adresser, däribland smarta TV-apparater, Android-streaming-boxar, mobiltelefoner och surfplattor .
• Forskare från Synthient, Qurium och Nokia Deepfield kopplade direkt Popa-botnätet – som varit aktivt i ungefär fyra år – till NetNut och dess börsnoterade moderbolag Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield uppskattade att nätverket som mest involverade upp till 60 000 enheter per relänod över 359 000 distinkta IP-adresser . Vissa uppskattningar av det totala antalet infekterade enheter sträckte sig från 9 till 26 miljoner .
• Bara i maj 2026 drabbades över 1,4 miljoner internetadresser av dataskrapningstrafik dirigerad genom NetNut .

316 hotkluster på en enda vecka

Under en enda observationsvecka upptäckte Googles hotintelligensgrupp 316 distinkta hotkluster som dirigerade skadlig trafik genom NetNuts proxy-infrastruktur . Dessa inkluderade:

• Reklambedrägerier
• Lösenordsattacker (credential stuffing) och kontoövertaganden
• Massiv dataskrapning
• Nätfiskekampanjer
• Relä för malware-kommandon (C2)

Hur hemenheter blir en del av nätverket

Google och forskarna identifierade två primära infektionsmetoder:

1. Förinstallerad skadlig programvara – Billiga Android-TV-boxar och streamingenheter som levererats från vissa tillverkare med Popa/Vo1d-proxymalware redan inbäddad i firmware .
2. Dold proxy-kod i appar – Till synes legitima appar på Google Play eller tredjepartsbutiker innehöll i hemlighet NetNuts proxy-SDK, som tyst registrerade enheten som en relänod utan användarens vetskap. Google Play Protect användes för att upptäcka och inaktivera dessa appar . Säkerhetsforskare fann koden i ett flertal piratkopierade streamingappar, torrentklienten MediaGet, VPN-tjänsten RoboVPN och Android-TV-appen SmartTube för YouTube .

Googles varning till konsumenter

Google varnade användare för att undvika appar som erbjuder betalning för outnyttjad bandbredd eller påstår sig "dela din internetanslutning för belöningar", eftersom dessa är en vanlig trojansk häst för värvning till residential proxy-nätverk . Konsumenter rekommenderades att hålla sina enheter uppdaterade, undvika billiga, omärkta Android-TV-boxar från okända leverantörer och kontrollera vilka appar som har nätverksbehörigheter.

Koppling till det bredare botnätslandskapet

Popa-botnätet använde skadlig programvara från Vo1d/Mzmess-familjen, som delar ursprung med Mirai-botnätsvarianter riktade mot Android-baserade IoT-enheter . Aisuru-botnätet, ett Mirai/TurboMirai-klassat IoT-botnät, observerades också under samma period skifta från DDoS-attacker till residential proxy-modeller, vilket understryker en branschövergripande trend . Mirai-varianten OMG, som dokumenterades första gången 2018, förvandlade likaså IoT-enheter till proxyservrar .

Bakgrund: En pågående kampanj mot residential proxy-nätverk

Denna insats bygger direkt på Googles nedtagning av IPIDEA, ett av världens största residential proxy-nätverk, den 28 januari 2026 . I den operationen eliminerade Google domäner och konton som IPIDEA använde för att dirigera trafik för cyberbrottslingar och statsstödda angripare . Google bedömde då – och bekräftade i juli – att hela residential proxy-branschen förblir djupt sammanflätad med cyberbrottsliga ekosystem, där toppaktörer som NetNut, LunaProxy, 711Proxy och 922Proxy var och en opererar över 1 miljon utgångsnoder . NetNut-nedtagningen var en del av en pågående kampanj som även inkluderade nedtagningen av SocksEscort i mars 2026 och nedtagningen av nätfiskenätverket "Outsider" i juni 2026 .

Alarum Technologies utfärdade den 2 juli 2026 ett uttalande om att man skulle "samarbeta fullt ut med brottsbekämpande myndigheter för att säkerställa att allt missbruk av dess infrastruktur utreds grundligt" .

Google vidtog tre konkreta åtgärder:

• Stängde ner konton och tjänster som använts för malware-relaterad kommando- och kontrollverksamhet (C2) .
• Delade teknisk underrättelseinformation med brottsbekämpande myndigheter, inklusive detaljer om NetNuts SDK (mjukvaruutvecklingskit) och bakomliggande infrastruktur .
• Aktiverade Google Play Protect för att automatiskt upptäcka, varna användare och inaktivera appar som visade sig integrera NetNuts proxy-kod .

Parallellt beslagtog FBI hundratals domäner kopplade till NetNut och Popa-botnätets infrastruktur . FBI ersatte även NetNuts startsida med ett beslagmeddelande .

Skalan: Minst 2 miljoner enheter – och växande

• Minst 2 miljoner konsumentenheter världen över kapades för att dirigera trafik genom privata IP-adresser, däribland smarta TV-apparater, Android-streaming-boxar, mobiltelefoner och surfplattor .
• Forskare från Synthient, Qurium och Nokia Deepfield kopplade direkt Popa-botnätet – som varit aktivt i ungefär fyra år – till NetNut och dess börsnoterade moderbolag Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield uppskattade att nätverket som mest involverade upp till 60 000 enheter per relänod över 359 000 distinkta IP-adresser . Vissa uppskattningar av det totala antalet infekterade enheter sträckte sig från 9 till 26 miljoner .
• Bara i maj 2026 drabbades över 1,4 miljoner internetadresser av dataskrapningstrafik dirigerad genom NetNut .

316 hotkluster på en enda vecka

Under en enda observationsvecka upptäckte Googles hotintelligensgrupp 316 distinkta hotkluster som dirigerade skadlig trafik genom NetNuts proxy-infrastruktur . Dessa inkluderade:

• Reklambedrägerier
• Lösenordsattacker (credential stuffing) och kontoövertaganden
• Massiv dataskrapning
• Nätfiskekampanjer
• Relä för malware-kommandon (C2)

Hur hemenheter blir en del av nätverket

Google och forskarna identifierade två primära infektionsmetoder:

1. Förinstallerad skadlig programvara – Billiga Android-TV-boxar och streamingenheter som levererats från vissa tillverkare med Popa/Vo1d-proxymalware redan inbäddad i firmware .
2. Dold proxy-kod i appar – Till synes legitima appar på Google Play eller tredjepartsbutiker innehöll i hemlighet NetNuts proxy-SDK, som tyst registrerade enheten som en relänod utan användarens vetskap. Google Play Protect användes för att upptäcka och inaktivera dessa appar . Säkerhetsforskare fann koden i ett flertal piratkopierade streamingappar, torrentklienten MediaGet, VPN-tjänsten RoboVPN och Android-TV-appen SmartTube för YouTube .

Googles varning till konsumenter

Google varnade användare för att undvika appar som erbjuder betalning för outnyttjad bandbredd eller påstår sig "dela din internetanslutning för belöningar", eftersom dessa är en vanlig trojansk häst för värvning till residential proxy-nätverk . Konsumenter rekommenderades att hålla sina enheter uppdaterade, undvika billiga, omärkta Android-TV-boxar från okända leverantörer och kontrollera vilka appar som har nätverksbehörigheter.

Koppling till det bredare botnätslandskapet

Popa-botnätet använde skadlig programvara från Vo1d/Mzmess-familjen, som delar ursprung med Mirai-botnätsvarianter riktade mot Android-baserade IoT-enheter . Aisuru-botnätet, ett Mirai/TurboMirai-klassat IoT-botnät, observerades också under samma period skifta från DDoS-attacker till residential proxy-modeller, vilket understryker en branschövergripande trend . Mirai-varianten OMG, som dokumenterades första gången 2018, förvandlade likaså IoT-enheter till proxyservrar .

Bakgrund: En pågående kampanj mot residential proxy-nätverk

Denna insats bygger direkt på Googles nedtagning av IPIDEA, ett av världens största residential proxy-nätverk, den 28 januari 2026 . I den operationen eliminerade Google domäner och konton som IPIDEA använde för att dirigera trafik för cyberbrottslingar och statsstödda angripare . Google bedömde då – och bekräftade i juli – att hela residential proxy-branschen förblir djupt sammanflätad med cyberbrottsliga ekosystem, där toppaktörer som NetNut, LunaProxy, 711Proxy och 922Proxy var och en opererar över 1 miljon utgångsnoder . NetNut-nedtagningen var en del av en pågående kampanj som även inkluderade nedtagningen av SocksEscort i mars 2026 och nedtagningen av nätfiskenätverket "Outsider" i juni 2026 .

Alarum Technologies utfärdade den 2 juli 2026 ett uttalande om att man skulle "samarbeta fullt ut med brottsbekämpande myndigheter för att säkerställa att allt missbruk av dess infrastruktur utreds grundligt" .