ФБР совместно со специалистами Google по кибербезопасности нейтрализовали ботнет, который работал с помощью резидентного прокси-сервиса NetNut. Сеть охватывала более 2 млн устройств по всему миру и направляла трафик через домашние интернет-соединения пользователей.
Основой ботнета стал вредоносный набор средств разработки программного обеспечения (SDK), встроенный в недорогие устройства на базе Android. Речь идет о смарт-телевизорах, стриминговых приставках и неофициальных приложениях, в числе которых SmartTube. После подключения к интернету такие устройства незаметно становились узлами прокси-сети. Владельцы об этом даже не догадывались. Злоумышленники пропускали трафик через домашние IP-адреса, поэтому системам безопасности было сложно обнаружить или заблокировать вредоносную активность.
О масштабах злоупотреблений свидетельствуют цифры. Только за одну неделю в июне 2026 года сетью NetNut воспользовались как минимум 316 различных группировок. Они подбирали пароли, похищали учетные данные, осуществляли мошеннические схемы с рекламой и собирали конфиденциальную информацию.
От типичных подпольных ботнетов NetNut отличалась своей бизнес-моделью. Эксперты связали сеть с израильской компанией Alarum Technologies, акции которой торгуются на Nasdaq. Ранее Alarum описывала свою платформу как сервис добровольного совместного использования широкополосного доступа. Однако независимые технические обзоры показали иное. Пользователей должным образом не информировали о работе их устройств в прокси-сети и не запрашивали согласия. После изъятия доменов, связанных с NetNut, в Alarum пообещали «полностью сотрудничать с правоохранительными органами».
Подписывайтесь на Mediasat в Telegram: здесь самые интересные новости из мира технологий
NetNut работала по модели реселлера. Другие компании могли переименовывать сеть и продавать доступ к той же инфраструктуре под собственными брендами. По данным Google, именно NetNut лежала в основе многих популярных прокси-сервисов.
В ходе операции власти изъяли несколько сотен доменов, связанных с этим сервисом. Google, в свою очередь, заблокировала учетные записи, привязанные к серверам управления ботнетом, и обновила защиту Google Play Protect. Теперь система помечает приложения, причастные к незаконной схеме, а программы со скомпрометированным SDK компания отключила.
ФБР не отключало все домены одновременно — часть из них ещё некоторое время оставалась в сети. Эксперты пояснили, что после уничтожения инфраструктуры, управлявшей ботнетом, наличие отдельных сайтов уже ни на что не влияло.
Бюджетные Android-приставки всё чаще становятся мишенью для злоумышленников. В марте 2026 года команда Nokia Deepfield обнаружила ботнет Katana — усовершенствованный вариант вредоносного ПО семейства Mirai. Он захватил не менее 30 тысяч телеприставок на Android TV и способен генерировать DDoS-трафик мощностью до 150 Гбит/с.
