Google und FBI zerschlagen mit 2 Millionen Geräten verbundenes NetNut-Netzwerk für Residential-Proxys

Google erklärt, gemeinsam mit US-Strafverfolgungsbehörden und mehreren Sicherheitspartnern die Reichweite von NetNut, einem Residential-Proxy-Dienst, eingeschränkt zu haben, der Forschern zufolge auf einem Botnetz aus mehr als 2 Millionen Geräten basierte. An der Operation waren Google, das FBI, Lumen, Shadowserver und weitere Organisationen beteiligt. Sie folgt auf eine ähnliche Maßnahme gegen das IPIDEA-Proxy-Netzwerk zu Beginn dieses Jahres.

Nach Angaben von Google Cloud gehörte NetNut zu den größten Anbietern auf dem Markt für Residential-Proxys und stützte sich offenbar stark auf kleine Geräte für TV-Streaming. Residential-Proxy-Dienste leiten den Internetverkehr über gewöhnliche Heim- oder Verbraucheranschlüsse. Dadurch kann bösartige Aktivität so wirken, als stamme sie von legitimen privaten IP-Adressen und nicht aus einem Rechenzentrum oder von bekannter Angreifer-Infrastruktur.

Wie das Netzwerk genutzt wurde

Proxy-Betreiber werben häufig Gerätebesitzer mit dem Versprechen an, durch die Weitergabe ungenutzter Bandbreite Geld verdienen zu können. In der Praxis kann dies bedeuten, dass Software Development Kits oder andere Komponenten auf Geräten installiert werden, die anschließend Teil eines größeren Netzwerks aus Exit-Nodes werden. Google warnte, dass dieses Modell nicht nur Cyberkriminalität unterstützt, sondern auch Sicherheitsrisiken in Heimnetzwerken verursachen kann.

NetNut soll neben eigenständigem Proxy-Zugriff auch mobile Proxys und Rechenzentrums-Proxys verkauft sowie Scraper, Datensätze und ein Wiederverkäuferprogramm angeboten haben. Forscher vermuten, dass Teile des übergreifenden Residential-Proxy-Ökosystems auf NetNut-Infrastruktur angewiesen gewesen sein könnten, wodurch sich die Auswirkungen der Abschaltung vergrößern könnten.

Google erklärte, in einer Woche im Juni 2026 insgesamt 316 separate Bedrohungscluster beobachtet zu haben, die mutmaßliche NetNut-Exit-Nodes nutzten. Zu diesen Gruppen gehörten sowohl kriminelle Akteure als auch Akteure im Zusammenhang mit Spionageaktivitäten. Zu den häufigsten Einsatzmöglichkeiten zählten das Verschleiern der Quelle bösartiger Datenübertragungen, der Zugriff auf Opfersysteme, die Kontaktaufnahme mit von Angreifern kontrollierter Infrastruktur und die Durchführung von Password-Spraying-Angriffen.

Weiterreichende Auswirkungen und nächste Schritte

Forscher stellten außerdem mögliche Verbindungen zwischen NetNut und anderen Botnet-Familien fest, darunter Komponenten, die mit Badbox 2.0 in Verbindung stehen. Öffentliche Berichte deuten zudem darauf hin, dass NetNut-bezogene Infrastruktur bei Mirai-basierten Infektionen eingesetzt wurde.

Google erklärte, dass die Maßnahme voraussichtlich mehr als einen Anbieter treffen werde, warnte jedoch zugleich, dass sich dieser Markt schnell anpassen kann. Betreiber kaufen mitunter Kapazitäten bei Wettbewerbern ein, wenn ihre eigenen Systeme betroffen sind. Nach Angaben des Unternehmens wird eine längerfristige Störung wahrscheinlich eine fortgesetzte Koordination zwischen Internetanbietern, mobilen Plattformen und anderen Technologieunternehmen erfordern.