谷歌、FBI 与 Lumen 联手摧毁 NetNut 僵尸网络：200 万台被劫持设备曝光

2026 年 7 月 2 日，谷歌威胁情报组（GTIG）宣布，已与美国联邦调查局（FBI）和 Lumen Technologies 等合作伙伴联手，对 NetNut（内部代号 Popa）住宅代理网络实施了重大打击 。这次协同行动重创了已知规模最大的僵尸网络之一，该网络曾将大量普通家庭电子设备强行征用为全球网络犯罪的中继系统。

谷歌采取了三项具体措施：

• 禁用与 NetNut 相关的恶意软件命令与控制（C2）操作的账户和服务 。
• 与执法部门共享技术情报，包括 NetNut 软件开发工具包（SDK）和后端基础设施的详细信息 。
• 部署 Google Play Protect，自动检测、警告用户并禁用那些被发现集成了 NetNut 代理代码的应用 。

与此同时，FBI 查封了数百个与 NetNut 及 Popa 僵尸网络基础设施相关的域名 。FBI 还用查封通知替换了 NetNut 的首页 。

规模惊人：至少 200 万台设备且仍在增长

• 全球至少有 200 万台消费设备被劫持，用于通过住宅 IP 地址路由流量，这些设备包括智能电视、安卓电视盒子、手机和平板电脑 。
• 来自 Synthient、Qurium 和 Nokia Deepfield 的研究人员将已运行约四年的 Popa 僵尸网络 直接与 NetNut 及其上市公司母公司 Alarum Technologies（纳斯达克代码：ALAR）联系起来 。
• Nokia Deepfield 估计，该网络在高峰期每个中继节点涉及多达 60,000 台设备，分布于 359,000 个不同的 IP 地址 。对受感染设备总数的估计在 900 万到 2600 万之间 。
• 仅在 2026 年 5 月，就有超过 140 万个互联网地址 遭受了通过 NetNut 路由的数据抓取流量的攻击 。

一周内发现 316 个威胁集群

在为期一周的观察中，谷歌威胁情报组检测到有 316 个不同的威胁集群 通过 NetNut 代理基础设施路由恶意流量 。其中包括：

• 广告欺诈
• 凭证填充和账户接管
• 大规模数据抓取操作
• 钓鱼攻击
• 恶意软件 C2 中继

家庭设备如何成为网络的一部分

谷歌和研究人员确认了两种主要的感染方式：

1. 预装恶意软件——某些制造商生产的廉价安卓电视盒子和流媒体设备，其固件中已经嵌入了 Popa/Vo1d 代理恶意软件 。
2. 应用中的隐藏代理代码——Google Play 或第三方商店中看似正常的应用，秘密包含了 NetNut 的代理 SDK，在用户不知情的情况下将设备注册为中继节点。Google Play Protect 被用于检测和禁用这些应用 。安全研究人员在许多盗版流媒体应用、BT 下载客户端 MediaGet、VPN 服务 RoboVPN 以及安卓电视 YouTube 客户端 SmartTube 中都发现了这些代码 。

谷歌对消费者的警告

谷歌警告用户，应避免安装那些**提供“闲置带宽换收益”**或声称“分享网络连接换取奖励”的应用，因为这是住宅代理招募的常见伪装手段 。建议消费者保持设备更新，避免购买来自未知厂商的无品牌廉价安卓电视盒子，并检查哪些应用拥有网络权限。

与更广泛僵尸网络生态系统的联系

Popa 僵尸网络使用的恶意软件源于 Vo1d/Mzmess 家族，该家族与针对安卓物联网设备的 Mirai 僵尸网络变种 有共同渊源 。在这一时期，Aisuru 僵尸网络（一种 Mirai/TurboMirai 类物联网僵尸网络）也被观察到从 DDoS 攻击转向了住宅代理模式，凸显了整个行业的转向 。首次于 2018 年被记录的 OMG Mirai 变种，同样将物联网设备变成了代理服务器 。

背景：针对住宅代理网络的持续打击

此次行动直接建立在谷歌 2026 年 1 月 28 日对 IPIDEA 住宅代理网络的打击 之上。当时 IPIDEA 是全球最大的此类网络之一 。在那次行动中，谷歌清除了 IPIDEA 用于为网络罪犯和国家资助的攻击者路由流量的域名和账户。谷歌当时评估——并在 7 月再次重申——更广泛的住宅代理行业仍与网络犯罪生态系统深度绑定，像 NetNut、LunaProxy、711Proxy 和 922Proxy 等顶级服务商各自运营着超过 100 万个出口节点 。对 NetNut 的打击是一项持续行动的一部分，该行动还包括 2026 年 3 月对 SocksEscort 的打击 以及 2026 年 6 月对“Outsider”钓鱼网络的铲除 。

Alarum Technologies 在 2026 年 7 月 2 日发布声明称，将“全力配合执法部门，确保对其基础设施的任何滥用行为都得到彻底调查” 。