Google、FBI 與 Lumen 聯手瓦解 NetNut 傀儡網路：揭露 200 萬台遭駭裝置的全球犯罪鏈

與此同時，聯邦調查局 (FBI) 查封了數百個與 NetNut 及 Popa 傀儡網路基礎設施相關的網域。FBI 也將 NetNut 的首頁替換為查封公告。

規模浩大：至少 200 萬台裝置且持續成長中

• 全球 至少 200 萬台消費級裝置遭挾持，用以透過住宅 IP 位址路由流量，其中包括智慧電視、Android 串流盒、手機和平板電腦。
• 來自 Synthient、Qurium 和 Nokia Deepfield 的研究人員，將已運作約四年的 Popa 傀儡網路，直接連結到 NetNut 及其公開交易的母公司 Alarum Technologies (NASDAQ: ALAR)。
• Nokia Deepfield 估計，該網路在高峰期每個中繼節點涉及多達 60,000 台裝置，橫跨 359,000 個不同的 IP 位址。對受感染裝置總數的估計範圍，則從 900 萬到 2,600 萬台不等。
• 僅在 2026 年 5 月，就有超過 140 萬個網路位址 受到經由 NetNut 路由的資料抓取流量攻擊。

一週內發現 316 個威脅集群

在為期一週的觀察中，Google 威脅情報小組偵測到 316 個不同的威脅集群 透過 NetNut 代理基礎設施路由惡意流量。這些集群包括：

• 廣告詐欺
• 憑證填充與帳號接管
• 大規模資料抓取操作
• 網路釣魚活動
• 惡意軟體 C2 中繼

家用裝置如何成為網路的一部分

Google 與研究人員確定了兩種主要的感染方式：

1. 預裝惡意軟體 —— 從特定製造商出貨的低價 Android TV 盒子和串流裝置，其韌體中早已嵌入 Popa/Vo1d 代理惡意軟體。
2. 應用程式中的隱藏代理程式碼 —— 在 Google Play 或第三方商店中看似合法的應用程式，暗中包含了 NetNut 的代理 SDK，在用戶不知情的情況下，將裝置悄悄註冊為中繼節點。Google Play Protect 已被用來偵測並停用這些應用程式。安全研究人員在許多盜版串流應用程式、BT 下載客戶端 MediaGet、VPN 服務 RoboVPN 以及 Android TV 的 YouTube 客戶端 SmartTube 中，都發現了這些程式碼。

Google 對消費者的警告

Google 警告用戶，應避免使用那些為未使用頻寬提供報酬或聲稱「分享網路連線以換取獎勵」的應用程式，因為這些是住宅代理註冊的常見幌子。建議消費者保持裝置更新、避免從不明供應商購買廉價的白牌 Android TV 盒子，並檢查哪些應用程式擁有網路權限。

與更廣泛的傀儡網路生態系統的關聯

Popa 傀儡網路使用的惡意軟體源自 Vo1d/Mzmess 家族，該家族與針對 Android 物聯網裝置的 Mirai 傀儡網路變種 系出同源。在此期間，也觀察到 Aisuru 傀儡網路（一個 Mirai/TurboMirai 級別的物聯網傀儡網路）從 DDoS 攻擊轉向住宅代理模式，凸顯了整個產業的轉變。最早於 2018 年被記錄的 OMG Mirai 變種，同樣將物聯網裝置轉變為代理伺服器。

背景：持續打擊住宅代理網路的行動

此次行動直接建基於 Google 在 2026 年 1 月 28 日對 IPIDEA 住宅代理網路的打擊，該網路是當時全球最大的住宅代理網路之一。在那次行動中，Google 清除了 IPIDEA 用來為網路犯罪分子和國家支持的攻擊者路由流量的網域和帳號。Google 當時評估——並在 7 月重申——更廣泛的住宅代理產業與網路犯罪生態系統仍然深度連結，頂級服務如 NetNut、LunaProxy、711Proxy 和 922Proxy 各自運作超過 100 萬個出口節點。NetNut 的打擊行動是一場持續行動的一部分，該行動還包括 2026 年 3 月對 SocksEscort 的干擾，以及 2026 年 6 月對「Outsider」網路釣魚網路的查禁。

Alarum Technologies 在 2026 年 7 月 2 日發布聲明，表示將「全力配合執法單位，確保任何對其基礎設施的濫用行為都受到徹底調查」。