FBI 查封 NetNut 代理平台及 Popa 僵尸网络

<p><strong>美国联邦调查局</strong>（FBI）今天表示，他们与行业合作伙伴合作，查封了数百个与 <strong>NetNut</strong> 相关的域名。NetNut 是一个庞大的住宅代理服务，由公开上市的以色列公司 <strong>Alarum Technologies</strong> [NASDAQ: ALAR] 运营。这一行动发生在 KrebsOnSecurity 发布多家安全公司调查结果约两周后，这些结果将 NetNut 与 <strong>Popa</strong> 僵尸网络联系起来。该僵尸网络至少包含两百万台设备，这些设备被恶意软件侵入，受害者很少或根本没有同意。</p> <div id="attachment_73926" style="width: 757px" class="wp-caption aligncenter"><img aria-describedby="caption-attachment-73926" decoding="async" class=" wp-image-73926" src="https://krebsonsecurity.com/wp-content/uploads/2026/07/netnutseizure.png" alt="" width="747" height="415" srcset="https://krebsonsecurity.com/wp-content/uploads/2026/07/netnutseizure.png 1407w, https://krebsonsecurity.com/wp-content/uploads/2026/07/netnutseizure-768x427.png 768w, https://krebsonsecurity.com/wp-content/uploads/2026/07/netnutseizure-782x435.png 782w" sizes="(max-width: 747px) 100vw, 747px" /><p id="caption-attachment-73926" class="wp-caption-text">NetNut 主页今天已被替换为 FBI 的查封通知横幅。</p></div> <p>6月19日，三家不同的安全公司 <a href="https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/" target="_blank" rel="noopener">发布了类似的研究结果</a>：NetNut 是一个住宅代理网络，它构建了一个名为 Popa 的僵尸网络，并向智能电视和流媒体盒等家用常见设备分发软件。NetNut 的软件将这些系统转变为始终在线的住宅代理节点，出租给他人，主要用于转发滥用和侵入性的互联网流量，例如大量内容抓取、广告欺诈和账户接管活动。</p> <p>今天早些时候，NetNut 的主页被替换为 FBI 和 <strong>美国国税局刑事调查</strong> 部门的查封通知。查封通知感谢了 <strong>Google</strong>、<strong>Lumen</strong>、<strong>Shadowserver</strong> 及其他行业合作伙伴，感谢他们协助摧毁了与 Popa 僵尸网络相关的数百个域名。专家表示，Popa 僵尸网络长期以来一直与 NetNut 的住宅代理基础设施紧密相关。</p> <p>在今日发布的一篇博客文章中，<strong>Google 威胁情报组</strong>（GTIG）表示，NetNut 的代理网络被大量第三方代理提供商转售和白标，其服务受到网络罪犯的强烈追捧，他们试图掩盖恶意流量的来源。GTIG 表示，在 2026 年 6 月的某一周内，他们观察到 316 个不同的威胁行为者集群使用疑似 NetNut 出口节点，其中包括网络犯罪和间谍组织。</p> <p>“这些恶意行为者可以利用 NetNut 在访问受害者环境、访问自身基础设施以及进行密码喷洒攻击时隐藏其源 IP 地址，”Google 的 GTIG <a href="https://cloud.google.com/blog/topics/threat-intelligence/google-continued-disruption-residential-proxy-networks" target="_blank" rel="noopener">写道</a>。“此外，当消费者设备成为出口节点时，未经授权的网络流量会通过它。这意味着恶意行为者可以访问同一家庭网络上的其他私人设备，从而将它们暴露于互联网威胁之下。”</p> <p>Google 表示，他们禁用了 NetNut 用于恶意软件命令与控制（C2）的 Google 账户和服务，并与平台提供商、执法机构和研究机构分享了关于 NetNut 软件开发工具包（SDK）和后端基础设施的技术情报。该公司还禁用了已知捆绑 NetNut 各种 SDK 的应用程序。</p> <p><strong>Omer Weiss</strong>，NetNut 母公司 Alarum Technologies 的法律顾问，表示公司知晓 FBI 的查封行动，并正在与调查人员合作。</p> <p>“Alarum 严肃对待此事，并将全力配合执法机构，确保其基础设施的任何滥用行为都得到彻底调查，并追究相关责任人的责任，”Weiss 在一份书面声明中表示。<br /> <span id="more-73923"></span></p> <p><strong>Benjamin Brundage</strong> 是代理追踪服务 <strong>Synthient</strong> 的创始人，该公司是上月 <a href="https://synthient.com/blog/popa-from-sourcing-to-distribution" target="_blank" rel="noopener">发布证据</a> 将 Popa 僵尸网络与 NetNut 和 Alarum Technologies 联系起来的公司之一。Brundage 表示，域名的查封似乎同时破坏了 Popa 僵尸网络及其上运行的 NetNut 代理网络。</p> <p>Brundage 表示，NetNut 的明显消亡很可能对网络犯罪社区造成重大不利影响，而该社区已经在 Google 今年早些时候 <a href="https://cloud.google.com/blog/topics/threat-intelligence/disrupting-largest-residential-proxy-network" target="_blank" rel="noopener">采取法律行动</a> 查封 NetNut 最大竞争对手 <a href="https://krebsonsecurity.com/tag/ipidea/" target="_blank" rel="noopener">IPIDEA</a> 的基础设施后受到重创。</p> <p>“我认为这次下架将产生巨大影响，因为 NetNut 在 IPIDEA 下架后获得了显著的人气，”他说。“此外，NetNut 在转售商中非常普遍，在日流量、质量、规模和每 GB 价格等方面都与 IPIDEA 不相上下。”</p> <div id="attachment_73938" style="width: 759px" class="wp-caption aligncenter"><img aria-describedby="caption-attachment-73938" decoding="async" loading="lazy" class=" wp-image-73938" src="https://krebsonsecurity.com/wp-content/uploads/2026/07/netnut-popa-blacklotus.png" alt="" width="749" height="374" srcset="https://krebsonsecurity.com/wp-content/uploads/2026/07/netnut-popa-blacklotus.png 1435w, https://krebsonsecurity.com/wp-content/uploads/2026/07/netnut-popa-blacklotus-768x384.png 768w, https://krebsonsecurity.com/wp-content/uploads/2026/07/netnut-popa-blacklotus-782x391.png 782w" sizes="(max-width: 749px) 100vw, 749px" /><p id="caption-attachment-73938" class="wp-caption-text">简而言之：NetNut 的基础设施。图片来源：Black Lotus Labs, Lumen。</p></div> <p>Brundage 表示，NetNut 和 Popa 僵尸网络的下架可能还有另一个好处：减轻基于配置不当的住宅代理服务构建的大型分布式拒绝服务（DDoS）僵尸网络的影响。今年 1 月，Synthient <a href="https://krebsonsecurity.com/2026/01/the-kimwolf-botnet-is-stalking-your-local-network/" target="_blank" rel="noopener">披露</a> 了网络犯罪分子如何通过 IPIDEA 代理连接进入电视盒拥有者的本地网络，并感染受害者防火墙后的其他基于 Android 的设备，从而构建了世界上最大的 DDoS 僵尸网络（Kimwolf）。</p> <p>Brundage 表示，虽然许多较大的代理提供商已采取措施阻止此类活动，但主要代理网络的转售商对威胁的反应要慢得多。</p> <p>“就所有这些电视盒设备因代理网络而受到入侵而言，它将对现有的 DDoS 僵尸网络产生影响，”他说。</p> <p>就 Google 而言，他们认为今天的行动已经“严重削弱了 NetNut 的代理网络及其业务运营，使该代理运营商可用的设备池减少了数百万台。”但该公司警告说，代理网络可以通过有效转售其他代理服务来重建自身，就像 IPIDEA 在过去几个月所做的那样。</p> <p>“Google 高度确信，许多 p</p>