FBI Desmantela Rede de Proxies NetNut e Botnet Popa

O Federal Bureau of Investigation (FBI) anunciou hoje que, em conjunto com parceiros da indústria, realizou a apreensão de centenas de domínios associados à NetNut, um extenso serviço de proxies residenciais operado pela empresa israelense de capital aberto Alarum Technologies [NASDAQ: ALAR]. Esta ação ocorre aproximadamente duas semanas após o KrebsOnSecurity publicar descobertas de diversas empresas de segurança que conectavam a NetNut à botnet Popa, uma coleção de pelo menos dois milhões de dispositivos comprometidos por software malicioso, com pouco ou nenhum consentimento das vítimas.

Em 19 de junho, três empresas de segurança distintas emitiram descobertas semelhantes: que a NetNut é uma rede de proxies residenciais que alimenta uma botnet chamada Popa e distribui software para dispositivos comumente encontrados em residências, como smart TVs e boxes de streaming. O software da NetNut transforma esses sistemas em nós de proxy residencial sempre ativos, que são alugados a terceiros. Estes, por sua vez, os utilizam predominantemente para retransmitir tráfego de internet abusivo e intrusivo, como scraping massivo de conteúdo, fraudes de publicidade e atividades de takeover de contas.

No início de hoje, a página inicial da NetNut foi substituída por um aviso de apreensão do FBI e da divisão de Investigação Criminal do Internal Revenue Service (IRS). O aviso de apreensão agradeceu ao Google, Lumen, Shadowserver e outros parceiros da indústria por sua ajuda na desmantelação de centenas de domínios ligados à botnet Popa, que, segundo especialistas, há muito tempo é sinônimo da infraestrutura de proxies residenciais da NetNut.

Em um post de blog publicado hoje, o Google Threat Intelligence Group (GTIG) afirmou que a rede de proxies da NetNut é amplamente revendida e comercializada sob marca branca por diversos provedores de proxy terceirizados, e que seus serviços são muito procurados por cibercriminosos que buscam ofuscar a origem de seu tráfego malicioso. O GTIG relatou que, em uma única semana durante junho de 2026, observaram 316 clusters distintos de atores de ameaças utilizando nós de saída suspeitos da NetNut, incluindo grupos de cibercrime e espionagem.

"Esses maus atores podem usar a NetNut para mascarar seu endereço IP de origem ao acessar ambientes de vítimas, acessar sua própria infraestrutura e conduzir ataques de password spray", escreveu o GTIG do Google. "Além disso, quando um dispositivo de consumidor se torna um nó de saída, tráfego de rede não autorizado passa por ele. Isso significa que maus atores podem acessar outros dispositivos privados na mesma rede doméstica, expondo-os efetivamente a ameaças da Internet."

O Google informou que desativou contas e serviços do Google usados pela NetNut para comando e controle de malware, e que compartilhou inteligência técnica sobre os kits de desenvolvimento de software (SDKs) e a infraestrutura de back-end da NetNut com provedores de plataforma, autoridades e empresas de pesquisa. A empresa também desativou aplicativos conhecidos por empacotar os diversos SDKs da NetNut.

A Alarum Technologies, controladora da NetNut, não respondeu aos pedidos de comentário sobre a desativação de hoje. Antes da publicação de nossa matéria no mês passado sobre a aparente conexão da empresa com a botnet Popa, a Alarum contestou a caracterização da NetNut como uma botnet e declarou que se reservava o direito de processar qualquer pessoa que publicasse relatórios que pudessem manchar a marca da empresa.

Benjamin Brundage, fundador do serviço de rastreamento de proxies Synthient, uma das empresas que publicou evidências no mês passado ligando a botnet Popa à NetNut e à Alarum Technologies, disse que as apreensões de domínio parecem ter interrompido tanto a botnet Popa quanto a rede de proxies NetNut que opera sobre ela.

Brundage afirmou que o aparente fim da NetNut provavelmente será uma grande desvantagem para a comunidade de cibercrime, que já estava abalada pelas ações legais do Google no início deste ano, que apreenderam a infraestrutura do maior concorrente da NetNut – a IPIDEA. "Acho que essa desativação terá um grande impacto, porque a NetNut ganhou popularidade significativa após a desativação da IPIDEA", disse ele. "Além disso, a NetNut tem sido incrivelmente comum entre os revendedores, e eles estavam no mesmo nível da IPIDEA em termos de tráfego diário, qualidade, tamanho, preço por gigabyte, tudo."

A infraestrutura da NetNut, em resumo. Imagem: Black Lotus Labs, Lumen.

A desativação da NetNut e da botnet Popa pode ter outro benefício adicional, disse Brundage: a diminuição do impacto de grandes botnets de negação de serviço distribuído (DDoS) que foram construídas sobre serviços de proxy residencial mal configurados. Em janeiro, a Synthient revelou como cibercriminosos construíram a maior botnet DDoS do mundo (Kimwolf) tunelando através de conexões de proxy da IPIDEA para as redes locais de proprietários de boxes de TV, e infectando outros dispositivos baseados em Android atrás do firewall da vítima.

Embora muitos dos maiores provedores de proxy tenham tomado medidas para bloquear essa atividade, os revendedores das principais redes de proxy têm respondido muito mais lentamente à ameaça, disse Brundage. "Em termos de todos esses dispositivos de TV box sendo comprometidos pela rede de proxy, isso terá um impacto nas botnets DDoS existentes."

Por sua vez, o Google estima que as ações de hoje causaram "degradação significativa na rede de proxies da NetNut e em suas operações comerciais, reduzindo o pool disponível de dispositivos para o operador de proxy em milhões". No entanto, a empresa adverte que as redes de proxy podem se reconstruir revendendo efetivamente outros serviços de proxy, como a IPIDEA tem feito nos últimos meses.

"O Google tem alta confiança de que muitas marcas populares de proxies residenciais estão, na verdade, revendendo a botnet NetNut sob marca branca", conclui o relatório do GTIG. "Embora esperemos que essa interrupção tenha um efeito cascata maior em todo o ecossistema de proxies residenciais, observações após a interrupção da IPIDEA provaram que redes individuais podem parecer resilientes. O que observamos é que, ao enfrentar a degradação de sua própria botnet, os operadores de proxy começam a comprar capacidade de seus concorrentes, tornando-se efetivamente um revendedor. Reconhecemos que criar uma interrupção duradoura neste ecossistema fluido significa que devemos escalar nossos esforços para atingir a infraestrutura de vários provedores interconectados."

Como o KrebsOnSecurity alertou repetidamente, a maioria dos boxes de streaming de TV sem marca vendida nos principais sites de comércio eletrônico vem com software de proxy residencial pré-instalado, ou requer a instalação de SDKs de proxy para usar o dispositivo para seu propósito declarado (streaming de filmes piratas, eventos esportivos e programas de TV). O conselho do Google aqui é sólido: quando se trata de boxes de TV, atenha-se a marcas conhecidas de fabricantes respeitáveis e, em seguida, seja parcimonioso e criterioso com quaisquer aplicativos que você escolher instalar.

Os boxes de TV suspeitos que estão sendo sequestrados pela botnet Popa e outras ameaças vêm com ou exigem que o usuário instale sistemas operacionais Android não oficiais que não operam dentro dos limites da Loja Oficial Play Protect do Google. O Google afirma que os consumidores podem confirmar se um dispositivo é construído com o sistema operacional Android TV oficial e certificação Play Protect seguindo estas instruções.

Mesmo pessoas sem boxes de streaming de TV podem encontrar suas smart TVs inscritas em redes de proxy residencial, apenas instalando um dos milhares de aplicativos disponíveis para download nas smart TVs da Samsung e LG. Em um relatório divulgado no mês passado, a empresa de rastreamento de proxies Spur descobriu que 42% dos aplicativos disponíveis para download via sistema operacional webOS em TVs LG incluem SDKs que transformam a televisão em um nó de proxy residencial sempre ativo. Mais de um quarto dos aplicativos feitos para o sistema operacional Tizen da Samsung possuíam componentes de proxy residencial semelhantes, descobriu a Spur.

Imagem: Spur.us.