Bên trong chiến dịch triệt phá botnet NetNut: Google, FBI và Lumen đã vô hiệu hóa mạng proxy 2 triệu thiết bị như thế nào

Ngày 2 tháng 7 năm 2026, Nhóm Tình báo Mối đe dọa của Google (GTIG) thông báo đã vô hiệu hóa đáng kể mạng proxy dân cư NetNut (còn được biết đến nội bộ với tên Popa), phối hợp với FBI và Lumen Technologies, cùng các đối tác trong ngành . Đòn tấn công phối hợp này nhắm vào một trong những botnet lớn nhất từng bị phát hiện, biến các thiết bị điện tử gia dụng thông thường thành một hệ thống chuyển tiếp tội phạm mạng toàn cầu.

Google đã thực hiện ba bước cụ thể:

• Vô hiệu hóa các tài khoản và dịch vụ được sử dụng cho các hoạt động điều khiển (C2) malware liên quan đến NetNut .
• Chia sẻ thông tin tình báo kỹ thuật với cơ quan thực thi pháp luật, bao gồm chi tiết về bộ công cụ phát triển phần mềm (SDK) và hạ tầng backend của NetNut .
• Triển khai Google Play Protect để tự động phát hiện, cảnh báo người dùng và vô hiệu hóa các ứng dụng bị phát hiện có tích hợp mã proxy của NetNut .

Riêng FBI đã tịch thu hàng trăm tên miền liên quan đến NetNut và hạ tầng botnet Popa . FBI cũng đã thay thế trang chủ của NetNut bằng một thông báo tịch thu .

Quy mô: Ít nhất 2 triệu thiết bị và đang mở rộng

• Ít nhất 2 triệu thiết bị tiêu dùng trên toàn thế giới đã bị chiếm quyền để chuyển tiếp lưu lượng truy cập qua các địa chỉ IP dân cư, bao gồm TV thông minh, Android TV box, điện thoại và máy tính bảng .
• Các nhà nghiên cứu từ Synthient, Qurium và Nokia Deepfield đã liên kết botnet Popa — đã hoạt động được khoảng bốn năm — trực tiếp với NetNut và công ty mẹ giao dịch công khai của nó là Alarum Technologies (NASDAQ: ALAR) .
• Nokia Deepfield ước tính mạng lưới này có tới 60.000 thiết bị cho mỗi nút chuyển tiếp trên 359.000 địa chỉ IP riêng biệt vào thời điểm cao điểm . Một số ước tính về tổng số thiết bị bị nhiễm dao động từ 9 đến 26 triệu thiết bị .
• Chỉ riêng trong tháng 5/2026, hơn 1,4 triệu địa chỉ internet đã bị tấn công bởi lưu lượng quét dữ liệu được định tuyến qua NetNut .

316 Cụm mối đe dọa trong một tuần duy nhất

Trong một tuần theo dõi, Nhóm Tình báo Mối đe dọa của Google đã phát hiện 316 cụm mối đe dọa riêng biệt định tuyến lưu lượng truy cập độc hại qua hạ tầng proxy của NetNut . Chúng bao gồm:

• Gian lận quảng cáo
• Tấn công nhồi nhét thông tin đăng nhập và chiếm đoạt tài khoản
• Các chiến dịch quét dữ liệu hàng loạt
• Các chiến dịch lừa đảo (phishing)
• Chuyển tiếp C2 của malware

Cách thức các thiết bị gia đình trở thành một phần của mạng lưới

Google và các nhà nghiên cứu đã xác định hai phương thức lây nhiễm chính:

1. Phần mềm độc hại được cài đặt sẵn — Các hộp giải mã Android TV và thiết bị phát trực tuyến giá rẻ được sản xuất từ một số nhà sản xuất nhất định có mã độc Popa/Vo1d đã được nhúng sẵn trong firmware .
2. Mã proxy ẩn trong ứng dụng — Các ứng dụng tưởng chừng hợp pháp trên Google Play hoặc các cửa hàng bên thứ ba bí mật chứa SDK proxy của NetNut, âm thầm biến thiết bị thành một nút chuyển tiếp mà người dùng không hề hay biết. Google Play Protect đã được sử dụng để phát hiện và vô hiệu hóa các ứng dụng này . Các nhà nghiên cứu bảo mật đã tìm thấy mã độc trong nhiều ứng dụng phát trực tuyến lậu, ứng dụng torrent MediaGet, dịch vụ VPN RoboVPN và ứng dụng YouTube dành cho Android TV là SmartTube .

Cảnh báo của Google tới người tiêu dùng

Google cảnh báo người dùng tránh xa các ứng dụng đề nghị trả tiền cho băng thông không sử dụng hoặc tuyên bố "chia sẻ kết nối internet của bạn để nhận thưởng", vì đây là những chiêu trò phổ biến để đưa người dùng vào mạng lưới proxy dân cư . Người tiêu dùng được khuyên nên cập nhật thiết bị thường xuyên, tránh mua các hộp Android TV giá rẻ, không có thương hiệu từ những nhà cung cấp không rõ nguồn gốc và kiểm tra ứng dụng nào có quyền truy cập mạng.

Mối liên hệ với hệ sinh thái botnet rộng lớn hơn

Botnet Popa sử dụng mã độc có nguồn gốc từ họ Vo1d/Mzmess, có cùng dòng dõi với các biến thể botnet Mirai nhắm vào các thiết bị IoT chạy Android . Botnet Aisuru, một botnet IoT lớp Mirai/TurboMirai, cũng được quan sát thấy đã chuyển hướng từ tấn công DDoS sang các mô hình proxy dân cư trong giai đoạn này, đánh dấu một sự dịch chuyển trong toàn ngành . Biến thể OMG Mirai, được ghi nhận lần đầu vào năm 2018, cũng biến các thiết bị IoT thành máy chủ proxy .

Bối cảnh: Chiến dịch liên tục chống lại các mạng proxy dân cư

Hành động này tiếp nối trực tiếp từ chiến dịch ngày 28 tháng 1 năm 2026 của Google nhằm vô hiệu hóa mạng proxy dân cư IPIDEA, một trong những mạng lưới lớn nhất thế giới vào thời điểm đó . Trong chiến dịch đó, Google đã loại bỏ các tên miền và tài khoản được IPIDEA sử dụng để định tuyến lưu lượng cho tội phạm mạng và những kẻ tấn công do nhà nước bảo trợ . Google đã đánh giá vào thời điểm đó — và khẳng định lại vào tháng 7 — rằng ngành công nghiệp proxy dân cư rộng lớn hơn vẫn có mối liên hệ sâu sắc với các hệ sinh thái tội phạm mạng, với các dịch vụ hàng đầu như NetNut, LunaProxy, 711Proxy và 922Proxy mỗi bên vận hành hơn 1 triệu nút thoát . Vụ triệt phá NetNut là một phần của một chiến dịch liên tục, bao gồm cả việc vô hiệu hóa SocksEscort vào tháng 3 năm 2026 và triệt phá mạng lưới lừa đảo "Outsider" vào tháng 6 năm 2026 .

Alarum Technologies đã ra một tuyên bố vào ngày 2 tháng 7 năm 2026, cho biết sẽ "hợp tác đầy đủ với cơ quan thực thi pháp luật để đảm bảo mọi hành vi lạm dụng cơ sở hạ tầng của mình đều được điều tra kỹ lưỡng" .