NetNut Botnet’in Çökertilmesi: Google, FBI ve Lumen 2 Milyon Cihazlık Proxy Ağını Nasıl Devre Dışı Bıraktı?

2 Temmuz 2026'da Google Tehdit İstihbarat Grubu (GTIG), FBI ve Lumen Technologies ile işbirliği içinde, dünyanın en büyük konut proxy ağlarından biri olan NetNut'u (iç kaynaklarda Popa olarak da bilinir) büyük ölçüde çökerttiğini duyurdu . Bu operasyon, sıradan ev elektroniğini küresel bir siber suç aktarma sistemine dönüştüren en büyük botnetlerden birine darbe vurdu.

Google üç somut adım attı:

• NetNut ile ilgili zararlı yazılım komuta-kontrol (C2) operasyonlarında kullanılan hesapları ve hizmetleri devre dışı bıraktı .
• NetNut'un yazılım geliştirme kiti (SDK) ve arka uç altyapısı hakkındaki detayları içeren teknik istihbaratı kolluk kuvvetleriyle paylaştı .
• NetNut'un proxy kodunu entegre eden uygulamaları otomatik olarak algılamak, kullanıcıları uyarmak ve bu uygulamaları devre dışı bırakmak için Google Play Protect'i devreye soktu .

Ayrıca, FBI, NetNut ve Popa botnet altyapısıyla bağlantılı yüzlerce alan adına el koydu . FBI, NetNut'un ana sayfasını da bir el koyma bildirimiyle değiştirdi .

Boyut: En Az 2 Milyon Cihaz ve Büyüyor

• Dünya genelinde en az 2 milyon tüketici cihazı (akıllı TV'ler, Android TV kutuları, telefonlar ve tabletler) trafiği konut IP adresleri üzerinden yönlendirmek için ele geçirildi .
• Synthient, Qurium ve Nokia Deepfield araştırmacıları, yaklaşık dört yıldır faaliyette olan Popa botneti'ni doğrudan NetNut ve halka açık ana şirketi Alarum Technologies (NASDAQ: ALAR) ile ilişkilendirdi .
• Nokia Deepfield, ağın zirve noktasında 359.000 farklı IP adresinde düğüm başına 60.000 cihaza kadar ulaştığını tahmin etti . Enfekte olmuş toplam cihaz sayısına ilişkin bazı tahminler ise 9 ila 26 milyon arasında değişiyor .
• Yalnızca Mayıs 2026'da, NetNut üzerinden yönlendirilen veri kazıma trafiği 1,4 milyondan fazla internet adresini hedef aldı .

Tek Haftada 316 Tehdit Kümesi

Google Tehdit İstihbarat Grubu, bir haftalık gözlem süresinde NetNut proxy altyapısı üzerinden zararlı trafik yönlendiren 316 farklı tehdit kümesi tespit etti . Bunlar arasında:

• Reklam dolandırıcılığı
• Hesap ele geçirme ve kimlik bilgisi doldurma saldırıları (credential stuffing)
• Toplu veri kazıma operasyonları
• Kimlik avı (phishing) kampanyaları
• Zararlı yazılım C2 röleleri yer alıyor.

Ev Cihazları Nasıl Botnet'in Parçası Oluyor?

Google ve araştırmacılar iki ana enfeksiyon yöntemi belirledi:

1. Önceden yüklenmiş zararlı yazılım: Bazı üreticilerden tedarik edilen düşük maliyetli Android TV kutuları ve akış cihazları, ürün yazılımına (firmware) Popa/Vo1d proxy zararlı yazılımı zaten gömülü olarak geliyor .
2. Uygulamalardaki gizli proxy kodu: Google Play veya üçüncü taraf mağazalardaki görünüşte meşru uygulamalar, gizlice NetNut'un proxy SDK'sını içeriyor ve kullanıcının haberi olmadan cihazı bir röle düğümü olarak kaydediyor. Google Play Protect bu uygulamaları tespit etmek ve devre dışı bırakmak için kullanıldı . Güvenlik araştırmacıları, bu kodu çok sayıda korsan akış uygulamasında, MediaGet adlı torrent istemcisinde, RoboVPN hizmetinde ve Android TV YouTube istemcisi SmartTube'da buldu .

Google'dan Tüketicilere Uyarı

Google, kullanıcıları kullanılmayan bant genişliği için ödeme teklif eden veya "internet bağlantınızı ödüller karşılığında paylaşın" gibi ifadeler kullanan uygulamalardan kaçınmaları konusunda uyardı; çünkü bunlar konut proxy'sine kaydolmak için yaygın bir Truva atı yöntemi . Tüketicilere cihazlarını güncel tutmaları, bilinmeyen satıcılardan gelen ucuz, markasız Android TV kutularından kaçınmaları ve hangi uygulamaların ağ izinlerine sahip olduğunu kontrol etmeleri tavsiye edildi.

Daha Geniş Botnet Ekosistemiyle Bağlantı

Popa botneti, Android tabanlı IoT cihazlarını hedef alan Mirai botnet varyantlarıyla aynı kökene sahip Vo1d/Mzmess ailesinden türetilmiş bir zararlı yazılım kullanıyor . Ayrıca, Mirai/TurboMirai sınıfı bir IoT botneti olan Aisuru botnetinin de bu dönemde DDoS saldırılarından konut proxy modellerine geçiş yaptığı gözlemlendi; bu da sektör genelinde bir değişime işaret ediyor . İlk kez 2018'de belgelenen OMG Mirai varyantı da IoT cihazlarını benzer şekilde proxy sunuculara dönüştürmüştü .

Bağlam: Konut Proxy Ağlarına Karşı Devam Eden Kampanya

Bu operasyon, doğrudan Google'ın 28 Ocak 2026'da dünyanın en büyük konut proxy ağlarından biri olan IPIDEA'yı çökertmesinin ardından geldi . Google, o zamanki değerlendirmesini Temmuz ayında yineleyerek daha geniş konut proxy sektörünün siber suç ekosistemleriyle derinlemesine bağlantılı olduğunu ve NetNut, LunaProxy, 711Proxy ve 922Proxy gibi üst düzey hizmetlerin her birinin 1 milyondan fazla çıkış düğümü işlettiğini belirtti . NetNut'un çökertilmesi, Mart 2026'da SocksEscort'un dağıtılması ve Haziran 2026'da "Outsider" kimlik avı ağının çökertilmesinin de dahil olduğu devam eden bir kampanyanın parçasıydı.

Alarum Technologies, 2 Temmuz 2026'da yayınladığı bir bildiride, "kolluk kuvvetleriyle tam işbirliği yaparak altyapısının kötüye kullanımının kapsamlı bir şekilde araştırılmasını ve sorumluların hesap vermesini sağlayacağını" duyurdu .