ФБР спільно з фахівцями Google з кібербезпеки знешкодили ботнет, який працював за допомогою резидентного проксі-сервісу NetNut. Мережа охоплювала понад 2 млн пристроїв у всьому світі та спрямовувала трафік через домашні інтернет-з’єднання користувачів.
Основою ботнету став шкідливий набір для розробки програмного забезпечення (SDK), вбудований у дешеві пристрої на базі Android. Ідеться про смарт-телевізори, стримінгові приставки та неофіційні застосунки, серед яких SmartTube. Після під’єднання до інтернету такі пристрої непомітно ставали вузлами проксі-мережі. Власники про це навіть не здогадувалися. Зловмисники пропускали трафік через домашні IP-адреси, тож системам безпеки було важко виявити або заблокувати шкідливу активність.
Про масштаби зловживань свідчать цифри. Лише за один тиждень у червні 2026 року мережею NetNut скористалися щонайменше 316 різних угруповань. Вони підбирали паролі, викрадали облікові дані, проводили шахрайські схеми з рекламою та збирали конфіденційну інформацію.
Від типових підпільних ботнетів NetNut відрізняла бізнес-модель. Експерти пов’язали мережу з ізраїльською компанією Alarum Technologies, акції якої торгуються на Nasdaq. Раніше Alarum описувала свою платформу як сервіс добровільного спільного використання широкосмугового доступу. Проте незалежні технічні огляди показали інше. Користувачів належним чином не інформували про роботу їхніх пристроїв у проксі-мережі й не запитували згоди. Після вилучення пов’язаних із NetNut доменів у Alarum пообіцяли «повністю співпрацювати з правоохоронними органами».
Підписуйтесь на Mediasat у Telegram: тут найцікавіші новини ТБ та телекому
NetNut працювала за моделлю реселера. Інші компанії могли перейменовувати мережу та продавати доступ до тієї самої інфраструктури під власними брендами. За даними Google, саме NetNut лежала в основі багатьох популярних проксі-сервісів.
У межах операції влада вилучила кілька сотень доменів, пов’язаних із сервісом. Google своєю чергою заблокувала облікові записи, прив’язані до серверів керування ботнетом, та оновила захист Google Play Protect. Тепер система позначає застосунки, причетні до незаконної схеми, а програми зі скомпрометованим SDK компанія вимкнула.
ФБР не вимикало всі домени одночасно — частина з них ще деякий час залишалася в мережі. Експерти пояснили, що після знищення інфраструктури, яка керувала ботнетом, присутність окремих сайтів уже ні на що не впливала.
Бюджетні Android-приставки дедалі частіше стають мішенню для зловмисників. У березні 2026 року команда Nokia Deepfield виявила ботнет Katana — вдосконалений варіант шкідливого ПЗ сімейства Mirai. Він захопив щонайменше 30 тисяч телеприставок на Android TV і здатен генерувати DDoS-трафік потужністю до 150 Гбіт/с.
