ФБР и Google обезвредили ботнет, использующий 2 млн смарт-телевизоров для кибератак
Операция против крупнейшего киберпреступного прокси-сервиса
Федеральное бюро расследований (ФБР) совместно с Google и другими организациями в начале июля 2026 года нейтрализовали ботнет NetNut, в котором задействовано более 2 миллионов устройств по всему миру. Основу сети составляли недорогие смарт-телевизоры, стриминговые приставки и другие устройства на базе Android, которые злоумышленники использовали как точки входа прокси-серверов.
Масштабная киберпреступная инфраструктура
Ботнет функционировал на базе сети резидентных прокси-серверов NetNut, которая использовалась в качестве коммерческого прокси-сервиса. Заражённые устройства превращались в промежуточные узлы, через которые злоумышленники перенаправляли интернет-трафик, маскируя вредоносную активность под обычный домашний трафик.
Вредоносное ПО предустанавливалось на устройства ещё до продажи. После подключения эти устройства начинали действовать как прокси-серверы, не информируя пользователей об этом. Злоумышленники направляли трафик через домашние IP-адреса, что затрудняло обнаружение их деятельности системами безопасности.
Преступные схемы и их масштаб
Только за одну неделю в июне 2026 года не менее 316 различных группировок использовали сеть NetNut для подбора паролей, кражи учётных данных, реализации мошеннических схем с рекламой и сбора конфиденциальных данных. Сервис работал по модели реселлера, что позволяло другим компаниям переименовывать сеть и продавать доступ к инфраструктуре.
Механизм действия NetNut отличался от обычных подпольных ботнетов. Сеть была связана с израильской компанией Alarum Technologies, акции которой торгуются на Nasdaq. Компания ранее описывала свою платформу как сервис добровольного совместного использования широкополосного доступа, однако пользователей не информировали о том, что их устройства будут работать в прокси-сети.
Реакция правоохранительных органов и Google
ФБР по решению суда изъяло несколько сотен доменов, связанных с сервисом NetNut. В операции также участвовали Lumen Technologies и организация Shadowserver Foundation. Google помогла правоохранителям, отключив аккаунты и сервисы Google, которые NetNut использовала для управления вредоносным ПО.
Компания обновила защиту Play Protect, чтобы пометить связанные с незаконной схемой приложения. Приложения, содержащие скомпрометированный SDK NetNut, были отключены. Специалисты Google Threat Intelligence Group поделились техническими данными о наборах для разработки программного обеспечения и серверной инфраструктуре NetNut.
Рекомендации по защите
Эксперты отмечают, что большинство заражённых устройств представляли собой дешёвые Android TV-приставки неизвестных производителей с устаревшим программным обеспечением. Чтобы снизить риски, специалисты рекомендуют выбирать устройства известных брендов, регулярно устанавливать обновления безопасности и избегать подозрительно дешёвой техники.
Важно проверять, использует ли ТВ-приставка официальную ОС Android TV и имеет ли она сертификат Play Protect. Аналогичные рекомендации относятся и к другим устройствам умного дома, которые также часто становятся целью киберпреступников.
Официальный ответ компании-владельца
Компания Alarum Technologies, владеющая NetNut, заявила, что ей известно об изъятии данных и что она сотрудничает со следствием, чтобы обеспечить «тщательное расследование» случаев неправомерного использования инфраструктуры и привлечения виновных к ответственности.
