เปิดปฏิบัติการถล่มบอตเน็ต NetNut: Google, FBI และ Lumen โค่นเครือข่ายพร็อกซีกว่า 2 ล้านอุปกรณ์

เมื่อวันที่ 2 กรกฎาคม 2026 Google Threat Intelligence Group (GTIG) ประกาศว่าได้ลดทอนประสิทธิภาพเครือข่ายพร็อกซีที่อยู่อาศัย (residential proxy) NetNut (หรือที่รู้จักในชื่อภายในว่า Popa) ลงอย่างมาก โดยทำงานร่วมกับ FBI และ Lumen Technologies รวมถึงพันธมิตรในอุตสาหกรรมอื่นๆ ปฏิบัติการประสานงานนี้โจมตีหนึ่งในบอตเน็ตที่ใหญ่ที่สุดที่รู้จัก ซึ่งเกณฑ์อุปกรณ์อิเล็กทรอนิกส์ในบ้านเรือนทั่วไปเข้าเป็นส่วนหนึ่งของระบบรีเลย์อาชญากรรมไซเบอร์ระดับโลก

Google ดำเนินการสามขั้นตอนสำคัญ:

• ปิดใช้งานบัญชีและบริการ ที่ใช้สำหรับปฏิบัติการสั่งการและควบคุม (C2) ของมัลแวร์ที่เกี่ยวข้องกับ NetNut
• แบ่งปันข่าวกรองทางเทคนิค กับหน่วยงานบังคับใช้กฎหมาย รวมถึงรายละเอียดเกี่ยวกับชุดพัฒนาซอฟต์แวร์ (SDK) และโครงสร้างพื้นฐานแบ็คเอนด์ของ NetNut
• ปรับใช้ Google Play Protect เพื่อตรวจจับ เตือนผู้ใช้ และปิดการทำงานของแอปที่พบว่ามีโค้ดพร็อกซีของ NetNut แทรกอยู่โดยอัตโนมัติ

นอกจากนี้ FBI ได้ยึดโดเมนหลายร้อยแห่ง ที่เกี่ยวข้องกับ NetNut และโครงสร้างพื้นฐานของบอตเน็ต Popa และเปลี่ยนหน้าโฮมเพจของ NetNut เป็นหน้าประกาศการยึด

ขนาดของเครือข่าย: อย่างน้อย 2 ล้านอุปกรณ์และกำลังเติบโต

• อุปกรณ์ผู้บริโภคอย่างน้อย 2 ล้านเครื่อง ทั่วโลกถูกแฮกเพื่อใช้เป็นทางผ่านการรับส่งข้อมูลผ่านที่อยู่ IP ในบ้านพักอาศัย รวมถึงสมาร์ททีวี กล่อง Android, โทรศัพท์ และแท็บเล็ต
• นักวิจัยจาก Synthient, Qurium และ Nokia Deepfield เชื่อมโยง บอตเน็ต Popa ซึ่งดำเนินการมาประมาณสี่ปี เข้ากับ NetNut และบริษัทแม่ที่จดทะเบียนในตลาดหลักทรัพย์ Alarum Technologies (NASDAQ: ALAR) โดยตรง
• Nokia Deepfield ประมาณการว่าเครือข่ายนี้เกี่ยวข้องกับอุปกรณ์สูงสุด 60,000 เครื่องต่อโหนดรีเลย์ ข้ามที่อยู่ IP เฉพาะ 359,000 แห่ง ที่จุดสูงสุด การประมาณการบางส่วนระบุว่าจำนวนอุปกรณ์ที่ติดเชื้อทั้งหมดอยู่ระหว่าง 9 ถึง 26 ล้านเครื่อง
• ในเดือนพฤษภาคม 2026 เพียงเดือนเดียว ที่อยู่อินเทอร์เน็ตมากกว่า 1.4 ล้านแห่ง ถูกโจมตีด้วยการรับส่งข้อมูลขูดข้อมูลที่ส่งผ่าน NetNut

316 กลุ่มภัยคุกคามในหนึ่งสัปดาห์

ในการสังเกตการณ์เพียงหนึ่งสัปดาห์ Google Threat Intelligence Group ตรวจพบ กลุ่มภัยคุกคามที่แตกต่างกัน 316 กลุ่ม ที่ส่งการรับส่งข้อมูลที่เป็นอันตรายผ่านโครงสร้างพื้นฐานพร็อกซีของ NetNut ซึ่งรวมถึง:

• การฉ้อโกงโฆษณา
• การยัดเย็ดข้อมูลประจำตัว (Credential Stuffing) และการฮุคบัญชี (Account Takeover)
• การขูดข้อมูลจำนวนมาก
• แคมเปญฟิชชิ่ง
• การรีเลย์ C2 ของมัลแวร์

อุปกรณ์ในบ้านกลายเป็นส่วนหนึ่งของเครือข่ายได้อย่างไร

Google และนักวิจัยระบุวิธีการติดเชื้อหลักสองวิธี:

1. มัลแวร์ที่ติดตั้งมาก่อน — กล่อง Android TV และอุปกรณ์สตรีมมิ่งราคาถูกที่จัดส่งจากผู้ผลิตบางราย โดยมีมัลแวร์พร็อกซี Popa/Vo1d แทรกอยู่ในเฟิร์มแวร์แล้ว
2. โค้ดพร็อกซีที่ซ่อนอยู่ในแอป — แอปที่ดูเหมือนถูกกฎหมายบน Google Play หรือร้านค้าบุคคลที่สามแอบมี SDK พร็อกซีของ NetNut ซึ่งจะลงทะเบียนอุปกรณ์เป็นโหนดรีเลย์โดยที่ผู้ใช้ไม่รู้ตัว Google Play Protect ถูกใช้เพื่อตรวจจับและปิดการทำงานแอปเหล่านี้ นักวิจัยพบโค้ดดังกล่าวในแอปสตรีมมิ่งละเมิดลิขสิทธิ์หลายแห่ง, ไคลเอนต์ทอร์เรนต์ MediaGet, บริการ VPN RoboVPN และไคลเอนต์ YouTube สำหรับ Android TV อย่าง SmartTube

คำเตือนของ Google ถึงผู้บริโภค

Google เตือนผู้ใช้ให้หลีกเลี่ยงแอปที่ เสนอจ่ายเงินสำหรับแบนด์วิดท์ที่ไม่ได้ใช้ หรืออ้างว่า "แชร์การเชื่อมต่ออินเทอร์เน็ตของคุณเพื่อรับรางวัล" เนื่องจากแอปเหล่านี้เป็นม้าโทรจันทั่วไปสำหรับการลงทะเบียนพร็อกซีที่อยู่อาศัย ผู้บริโภคได้รับคำแนะนำให้อัปเดตอุปกรณ์อยู่เสมอ, หลีกเลี่ยงกล่อง Android TV ราคาถูกที่ไม่มีแบรนด์จากผู้ขายที่ไม่รู้จัก และตรวจสอบว่าแอปใดมีสิทธิ์เข้าถึงเครือข่าย

ความเชื่อมโยงกับระบบนิเวศบอตเน็ตในวงกว้าง

บอตเน็ต Popa ใช้มัลแวร์ที่มาจากตระกูล Vo1d/Mzmess ซึ่งมีสายเลือดร่วมกับ สายพันธุ์บอตเน็ต Mirai ที่กำหนดเป้าหมายอุปกรณ์ IoT ที่ใช้ Android บอตเน็ต Aisuru ซึ่งเป็นบอตเน็ต IoT ระดับ Mirai/TurboMirai ก็ถูกสังเกตเห็นว่าหันเหจากการโจมตี DDoS มาใช้โมเดลพร็อกซีที่อยู่อาศัยในช่วงเวลานี้ ซึ่งเน้นย้ำถึงการเปลี่ยนแปลงในระดับอุตสาหกรรม สายพันธุ์ OMG Mirai ซึ่งถูกบันทึกครั้งแรกในปี 2018 ก็เปลี่ยนอุปกรณ์ IoT ให้เป็นเซิร์ฟเวอร์พร็อกซีเช่นกัน

บริบท: การรณรงค์ต่อต้านเครือข่ายพร็อกซีที่อยู่อาศัยอย่างต่อเนื่อง

ปฏิบัติการนี้ต่อยอดโดยตรงจาก การรื้อถอนเครือข่ายพร็อกซีที่อยู่อาศัย IPIDEA ของ Google เมื่อวันที่ 28 มกราคม 2026 ซึ่งเป็นหนึ่งในเครือข่ายพร็อกซีที่ใหญ่ที่สุดในโลกในขณะนั้น ในปฏิบัติการนั้น Google ได้กำจัดโดเมนและบัญชีที่ IPIDEA ใช้เพื่อส่งการรับส่งข้อมูลสำหรับอาชญากรไซเบอร์และผู้โจมตีที่รัฐให้การสนับสนุน Google ประเมินในตอนนั้น — และยืนยันอีกครั้งในเดือนกรกฎาคม — ว่า อุตสาหกรรมพร็อกซีที่อยู่อาศัยในวงกว้างยังคงเชื่อมโยงอย่างลึกซึ้ง กับระบบนิเวศอาชญากรรมไซเบอร์ โดยบริการชั้นนำ เช่น NetNut, LunaProxy, 711Proxy และ 922Proxy ต่างก็ดำเนินการโหนดทางออกมากกว่า 1 ล้านโหนด การถล่ม NetNut เป็นส่วนหนึ่งของแคมเปญต่อเนื่องที่รวมถึงการรื้อถอน SocksEscort ในเดือนมีนาคม 2026 และการถล่มเครือข่ายฟิชชิ่ง "Outsider" ในเดือนมิถุนายน 2026

Alarum Technologies ออกแถลงการณ์เมื่อวันที่ 2 กรกฎาคม 2026 โดยกล่าวว่า บริษัทจะ "ให้ความร่วมมืออย่างเต็มที่กับหน่วยงานบังคับใช้กฎหมายเพื่อให้แน่ใจว่าการใช้โครงสร้างพื้นฐานในทางที่ผิดจะได้รับการสอบสวนอย่างละเอียด"