Google, ФБР та Lumen ліквідували ботнет NetNut: як використовували 2 мільйони пристроїв

2 липня 2026 року Google Threat Intelligence Group (GTIG) оголосила про значне послаблення мережі NetNut (також відомої як Popa) — величезної residential proxy-мережі, яка використовувала зламані домашні пристрої. Операція проводилася спільно з ФБР та Lumen Technologies .

Google вжив три конкретні заходи:

• Вимкнув облікові записи та сервіси, які використовувалися для командно-контрольних (C2) операцій шкідливого програмного забезпечення NetNut .
• Передав технічну інформацію правоохоронним органам, зокрема дані про SDK та інфраструктуру NetNut .
• Застосував Google Play Protect для автоматичного виявлення, попередження користувачів та блокування додатків, що містили проксі-код NetNut .

Окремо ФБР вилучило сотні доменів, пов'язаних з інфраструктурою NetNut та ботнету Popa . Головна сторінка NetNut була замінена повідомленням про вилучення .

Масштаб: щонайменше 2 мільйони пристроїв

• Щонайменше 2 мільйони споживчих пристроїв по всьому світу були використані для маршрутизації трафіку через звичайні домашні IP-адреси, включно зі смарт-телевізорами, Android-приставками, телефонами та планшетами .
• Дослідники з Synthient, Qurium та Nokia Deepfield пов'язали ботнет Popa, який діяв близько чотирьох років, безпосередньо з NetNut та її материнською компанією Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield оцінювала мережу як таку, що включає до 60 000 пристроїв на один релейний вузол із 359 000 унікальних IP-адрес на піку .
• Лише в травні 2026 року понад 1,4 мільйона інтернет-адрес постраждали від трафіку збору даних, що проходив через NetNut .

316 загрозливих кластерів за один тиждень

За один тиждень спостережень Google Threat Intelligence Group виявила 316 окремих загрозливих кластерів, що маршрутизували шкідливий трафік через інфраструктуру NetNut . Серед них:

• Шахрайство з рекламою
• Підбір паролів (credential stuffing) та захоплення облікових записів
• Масова крадіжка даних (web scraping)
• Фішингові кампанії
• Релейна передача трафіку для командно-контрольних серверів інших шкідливих програм

Як домашні пристрої стають частиною мережі

Дослідники виявили два основні методи зараження:

1. Передвстановлене шкідливе ПЗ — Дешеві Android TV-приставки від деяких виробників постачалися з проксі-шкідливим ПЗ Popa/Vo1d, вбудованим у прошивку .
2. Прихований проксі-код у додатках — Здавалося б, легальні додатки в Google Play або сторонніх магазинах таємно містили SDK NetNut, який мовчки реєстрував пристрій як релейний вузол. Google Play Protect використовувався для виявлення та блокування таких додатків . Код було знайдено в численних піратських стрімінгових додатках, торент-клієнті MediaGet, VPN-сервісі RoboVPN та YouTube-клієнті для Android TV SmartTube .

Попередження Google для споживачів

Google застерігає користувачів уникати додатків, які пропонують плату за невикористану пропускну здатність або закликають «поділитися інтернет-з'єднанням для винагороди», оскільки це поширений спосіб залучення пристроїв до residential proxy-мереж . Споживачам радять оновлювати пристрої, уникати дешевих нерозпізнаваних Android TV-приставок від невідомих продавців та перевіряти, які додатки мають мережеві дозволи.

Зв'язок з екосистемою ботнетів

Ботнет Popa використовував шкідливе ПЗ, похідне від сімейства Vo1d/Mzmess, яке має спільне коріння з варіантами ботнету Mirai, що націлені на Android-пристрої Інтернету речей (IoT) . Було також помічено, що ботнет Aisuru, представник класу Mirai/TurboMirai, переходить від DDoS-атак до моделі residential proxy, що свідчить про загальногалузеву тенденцію . Варіант OMG Mirai, вперше задокументований у 2018 році, так само перетворював IoT-пристрої на проксі-сервери .

Контекст: продовження кампанії проти residential proxy-мереж

Ця операція є прямим продовженням ліквідації мережі IPIDEA 28 січня 2026 року, — однієї з найбільших residential proxy-мереж у світі на той час . У тій операції Google вимкнув домени та облікові записи, які IPIDEA використовувала для маршрутизації трафіку кіберзлочинців та державних хакерів . Google оцінив — і підтвердив це в липні — що індустрія residential proxy залишається глибоко пов'язаною з кіберзлочинною екосистемою, а такі топ-сервіси, як NetNut, LunaProxy, 711Proxy та 922Proxy, кожен окремо експлуатують понад 1 мільйон вихідних вузлів . Ліквідація NetNut стала частиною безперервної кампанії, яка також включала зрив роботи SocksEscort у березні 2026 року та ліквідацію фішингової мережі «Outsider» у червні 2026 року .

Компанія Alarum Technologies 2 липня 2026 року випустила заяву, в якій пообіцяла «повністю співпрацювати з правоохоронними органами, щоб забезпечити ретельне розслідування будь-якого зловживання своєю інфраструктурою» .