谷歌采取了三项具体措施：

• 禁用与 NetNut 相关的恶意软件命令与控制（C2）操作的账户和服务 。
• 与执法部门共享技术情报，包括 NetNut 软件开发工具包（SDK）和后端基础设施的详细信息 。
• 部署 Google Play Protect，自动检测、警告用户并禁用那些被发现集成了 NetNut 代理代码的应用 。

与此同时，FBI 查封了数百个与 NetNut 及 Popa 僵尸网络基础设施相关的域名 。FBI 还用查封通知替换了 NetNut 的首页 。

规模惊人：至少 200 万台设备且仍在增长

• 全球至少有 200 万台消费设备被劫持，用于通过住宅 IP 地址路由流量，这些设备包括智能电视、安卓电视盒子、手机和平板电脑 。
• 来自 Synthient、Qurium 和 Nokia Deepfield 的研究人员将已运行约四年的 Popa 僵尸网络 直接与 NetNut 及其上市公司母公司 Alarum Technologies（纳斯达克代码：ALAR）联系起来 。
• Nokia Deepfield 估计，该网络在高峰期每个中继节点涉及多达 60,000 台设备，分布于 359,000 个不同的 IP 地址 。对受感染设备总数的估计在 900 万到 2600 万之间 。
• 仅在 2026 年 5 月，就有超过 140 万个互联网地址 遭受了通过 NetNut 路由的数据抓取流量的攻击 。

一周内发现 316 个威胁集群

在为期一周的观察中，谷歌威胁情报组检测到有 316 个不同的威胁集群 通过 NetNut 代理基础设施路由恶意流量 。其中包括：

• 广告欺诈
• 凭证填充和账户接管
• 大规模数据抓取操作
• 钓鱼攻击
• 恶意软件 C2 中继

家庭设备如何成为网络的一部分

谷歌和研究人员确认了两种主要的感染方式：

1. 预装恶意软件——某些制造商生产的廉价安卓电视盒子和流媒体设备，其固件中已经嵌入了 Popa/Vo1d 代理恶意软件 。
2. 应用中的隐藏代理代码——Google Play 或第三方商店中看似正常的应用，秘密包含了 NetNut 的代理 SDK，在用户不知情的情况下将设备注册为中继节点。Google Play Protect 被用于检测和禁用这些应用 。安全研究人员在许多盗版流媒体应用、BT 下载客户端 MediaGet、VPN 服务 RoboVPN 以及安卓电视 YouTube 客户端 SmartTube 中都发现了这些代码 。

谷歌对消费者的警告

谷歌警告用户，应避免安装那些**提供“闲置带宽换收益”**或声称“分享网络连接换取奖励”的应用，因为这是住宅代理招募的常见伪装手段 。建议消费者保持设备更新，避免购买来自未知厂商的无品牌廉价安卓电视盒子，并检查哪些应用拥有网络权限。

与更广泛僵尸网络生态系统的联系

Popa 僵尸网络使用的恶意软件源于 Vo1d/Mzmess 家族，该家族与针对安卓物联网设备的 Mirai 僵尸网络变种 有共同渊源 。在这一时期，Aisuru 僵尸网络（一种 Mirai/TurboMirai 类物联网僵尸网络）也被观察到从 DDoS 攻击转向了住宅代理模式，凸显了整个行业的转向 。首次于 2018 年被记录的 OMG Mirai 变种，同样将物联网设备变成了代理服务器 。

背景：针对住宅代理网络的持续打击

此次行动直接建立在谷歌 2026 年 1 月 28 日对 IPIDEA 住宅代理网络的打击 之上。当时 IPIDEA 是全球最大的此类网络之一 。在那次行动中，谷歌清除了 IPIDEA 用于为网络罪犯和国家资助的攻击者路由流量的域名和账户。谷歌当时评估——并在 7 月再次重申——更广泛的住宅代理行业仍与网络犯罪生态系统深度绑定，像 NetNut、LunaProxy、711Proxy 和 922Proxy 等顶级服务商各自运营着超过 100 万个出口节点 。对 NetNut 的打击是一项持续行动的一部分，该行动还包括 2026 年 3 月对 SocksEscort 的打击 以及 2026 年 6 月对“Outsider”钓鱼网络的铲除 。

Alarum Technologies 在 2026 年 7 月 2 日发布声明称，将“全力配合执法部门，确保对其基础设施的任何滥用行为都得到彻底调查” 。

谷歌采取了三项具体措施：

• 禁用与 NetNut 相关的恶意软件命令与控制（C2）操作的账户和服务 。
• 与执法部门共享技术情报，包括 NetNut 软件开发工具包（SDK）和后端基础设施的详细信息 。
• 部署 Google Play Protect，自动检测、警告用户并禁用那些被发现集成了 NetNut 代理代码的应用 。

与此同时，FBI 查封了数百个与 NetNut 及 Popa 僵尸网络基础设施相关的域名 。FBI 还用查封通知替换了 NetNut 的首页 。

规模惊人：至少 200 万台设备且仍在增长

• 全球至少有 200 万台消费设备被劫持，用于通过住宅 IP 地址路由流量，这些设备包括智能电视、安卓电视盒子、手机和平板电脑 。
• 来自 Synthient、Qurium 和 Nokia Deepfield 的研究人员将已运行约四年的 Popa 僵尸网络 直接与 NetNut 及其上市公司母公司 Alarum Technologies（纳斯达克代码：ALAR）联系起来 。
• Nokia Deepfield 估计，该网络在高峰期每个中继节点涉及多达 60,000 台设备，分布于 359,000 个不同的 IP 地址 。对受感染设备总数的估计在 900 万到 2600 万之间 。
• 仅在 2026 年 5 月，就有超过 140 万个互联网地址 遭受了通过 NetNut 路由的数据抓取流量的攻击 。

一周内发现 316 个威胁集群

在为期一周的观察中，谷歌威胁情报组检测到有 316 个不同的威胁集群 通过 NetNut 代理基础设施路由恶意流量 。其中包括：

• 广告欺诈
• 凭证填充和账户接管
• 大规模数据抓取操作
• 钓鱼攻击
• 恶意软件 C2 中继

家庭设备如何成为网络的一部分

谷歌和研究人员确认了两种主要的感染方式：

1. 预装恶意软件——某些制造商生产的廉价安卓电视盒子和流媒体设备，其固件中已经嵌入了 Popa/Vo1d 代理恶意软件 。
2. 应用中的隐藏代理代码——Google Play 或第三方商店中看似正常的应用，秘密包含了 NetNut 的代理 SDK，在用户不知情的情况下将设备注册为中继节点。Google Play Protect 被用于检测和禁用这些应用 。安全研究人员在许多盗版流媒体应用、BT 下载客户端 MediaGet、VPN 服务 RoboVPN 以及安卓电视 YouTube 客户端 SmartTube 中都发现了这些代码 。

谷歌对消费者的警告

谷歌警告用户，应避免安装那些**提供“闲置带宽换收益”**或声称“分享网络连接换取奖励”的应用，因为这是住宅代理招募的常见伪装手段 。建议消费者保持设备更新，避免购买来自未知厂商的无品牌廉价安卓电视盒子，并检查哪些应用拥有网络权限。

与更广泛僵尸网络生态系统的联系

Popa 僵尸网络使用的恶意软件源于 Vo1d/Mzmess 家族，该家族与针对安卓物联网设备的 Mirai 僵尸网络变种 有共同渊源 。在这一时期，Aisuru 僵尸网络（一种 Mirai/TurboMirai 类物联网僵尸网络）也被观察到从 DDoS 攻击转向了住宅代理模式，凸显了整个行业的转向 。首次于 2018 年被记录的 OMG Mirai 变种，同样将物联网设备变成了代理服务器 。

背景：针对住宅代理网络的持续打击

此次行动直接建立在谷歌 2026 年 1 月 28 日对 IPIDEA 住宅代理网络的打击 之上。当时 IPIDEA 是全球最大的此类网络之一 。在那次行动中，谷歌清除了 IPIDEA 用于为网络罪犯和国家资助的攻击者路由流量的域名和账户。谷歌当时评估——并在 7 月再次重申——更广泛的住宅代理行业仍与网络犯罪生态系统深度绑定，像 NetNut、LunaProxy、711Proxy 和 922Proxy 等顶级服务商各自运营着超过 100 万个出口节点 。对 NetNut 的打击是一项持续行动的一部分，该行动还包括 2026 年 3 月对 SocksEscort 的打击 以及 2026 年 6 月对“Outsider”钓鱼网络的铲除 。

Alarum Technologies 在 2026 年 7 月 2 日发布声明称，将“全力配合执法部门，确保对其基础设施的任何滥用行为都得到彻底调查” 。