Google、FBI同Lumen聯手剷除NetNut殭屍網絡：揭發全球200萬部裝置被騎劫

與此同時，FBI 查封咗數百個同NetNut同Popa殭屍網絡基礎設施相關嘅域名。FBI仲將NetNut嘅主頁換成咗查封通知。

規模：至少200萬部裝置，而且仲喺度擴張緊

• 全球至少200萬部消費者裝置被騎劫，用嚟通過住宅IP地址轉發網絡流量，包括智能電視、Android電視盒仔、電話同平板電腦。
• 來自Synthient、Qurium同Nokia Deepfield嘅研究人員將 Popa殭屍網絡 — 已經運作咗大約四年 — 直接連繫到NetNut同其上市公司母公司 Alarum Technologies（納斯達克代號：ALAR）。
• Nokia Deepfield估計，呢個網絡喺高峰期涉及每個中繼節點多達 60,000部裝置，橫跨 359,000個不同嘅IP地址。有啲估計仲話受感染嘅裝置總數達到900萬至2,600萬部。
• 淨係2026年5月，就有超過 140萬個互聯網地址 受到經NetNut轉發嘅數據scraping流量攻擊。

單一星期內發現316個威脅集群

喺一星期嘅觀察期內，Google嘅Threat Intelligence Group偵測到 316個獨立嘅威脅集群 透過NetNut代理基礎設施轉發惡意流量。其中包括：

• 廣告詐騙
• 憑證填充同帳號盜用（account takeover）
• 大規模數據scraping操作
• 釣魚攻擊
• 惡意軟件C2中轉

家用裝置點樣變成網絡一部分

Google同研究人員確認咗兩種主要感染途徑：

1. 預載惡意軟件 — 平價Android電視盒仔同串流裝置喺出廠時，韌體已經內置咗Popa/Vo1d代理惡意軟件。
2. App入面隱藏代理碼 — 一啲喺Google Play或第三方商店睇落正常嘅應用程式，其實暗藏咗NetNut嘅代理SDK，喺用戶唔知情嘅情況下靜悄悄地將裝置登記為中繼節點。Google Play Protect就用嚟偵測同停用呢啲App。安全研究人員喺好多盜版串流App、BT客戶端MediaGet、VPN服務RoboVPN，以及Android TV嘅YouTube客戶端SmartTube入面都發現咗呢啲碼。

Google對消費者嘅警告

Google警告用戶要避免使用 提供金錢回報嚟換取未用頻寬 或者聲稱「分享你嘅網絡連線換獎勵」嘅App，呢啲通常係住宅代理招募嘅特洛伊木馬。消費者應該保持裝置更新，避免從不明供應商購買冇牌子嘅平價Android電視盒仔，同埋檢查邊啲App有網絡權限。

同更廣泛殭屍網絡生態系統嘅關聯

Popa殭屍網絡使用嘅惡意軟件源自 Vo1d/Mzmess 家族，呢個家族同針對Android物聯網裝置嘅 Mirai殭屍網絡變種 有共同血緣。Aisuru殭屍網絡，一個屬於Mirai/TurboMirai級別嘅物聯網殭屍網絡，喺同期亦被觀察到從DDoS攻擊轉型為住宅代理模式，反映咗整個行業嘅轉變。OMG Mirai變種最早喺2018年被記錄，同樣係將物聯網裝置變成代理伺服器。

背景：持續打擊住宅代理網絡嘅行動

呢次行動係直接建基於Google 2026年1月28號打擊IPIDEA住宅代理網絡嘅行動，嗰個網絡當時係全球最大嘅同類網絡之一。喺嗰次行動，Google消滅咗IPIDEA用嚟為網絡罪犯同國家級黑客轉發流量嘅域名同帳號。Google當時評估 — 並喺7月再次確認 — 整個住宅代理行業同網絡犯罪生態系統仍然有深度關聯，頂級服務好似NetNut、LunaProxy、711Proxy同922Proxy各自都營運超過100萬個出口節點。NetNut嘅打擊係一個持續行動嘅一部分，呢個行動仲包括2026年3月打擊SocksEscort同2026年6月剷除「Outsider」釣魚網絡。

Alarum Technologies喺2026年7月2號發表聲明，話會「全力配合執法部門，確保任何濫用其基礎設施嘅行為都得到徹底調查」。