Google et le FBI démantèlent un réseau de proxys résidentiels de NetNut lié à 2 millions d’appareils

Google affirme avoir collaboré avec les autorités américaines et plusieurs partenaires spécialisés en sécurité afin de réduire la portée de NetNut, un service de proxys résidentiels que les chercheurs pensent avoir été créé à partir d’un botnet de plus de 2 millions d’appareils. L’opération a impliqué Google, le FBI, Lumen, Shadowserver et d’autres organisations, et fait suite à une opération de démantèlement similaire visant le réseau de proxys IPIDEA plus tôt cette année.

Selon Google Cloud, NetNut comptait parmi les principaux fournisseurs du marché des proxys résidentiels et semblait s’appuyer largement sur de petits appareils de streaming TV. Les services de proxys résidentiels acheminent le trafic Internet via des connexions domestiques ou grand public ordinaires, ce qui peut donner l’impression qu’une activité malveillante provient d’adresses résidentielles légitimes plutôt que d’un centre de données ou d’une infrastructure d’attaquant connue.

Utilisation du réseau

Les opérateurs de proxys recrutent souvent les propriétaires d’appareils en leur promettant de gagner de l’argent en partageant leur bande passante inutilisée. En pratique, cela peut impliquer l’installation de kits de développement logiciel ou d’autres composants sur des appareils qui deviennent ensuite partie intégrante d’un réseau plus vaste de nœuds de sortie. Google a averti que ce modèle ne facilite pas seulement la cybercriminalité, mais peut également créer des risques de sécurité au sein des réseaux domestiques.

NetNut aurait vendu un accès autonome à ses proxys, ainsi que des services de proxys mobiles et de centres de données, et commercialisé des outils d’extraction de données, des jeux de données et un programme destiné aux revendeurs. Les chercheurs soupçonnent que certains éléments de l’écosystème plus large des proxys résidentiels pourraient avoir dépendu de l’infrastructure de NetNut, ce qui pourrait accroître l’impact du démantèlement.

Google a déclaré qu’au cours d’une semaine en juin 2026, il avait observé 316 groupes de menaces distincts utilisant des nœuds de sortie supposément liés à NetNut. Ces groupes comprenaient aussi bien des acteurs criminels que des activités liées à l’espionnage. Parmi les usages courants figuraient la dissimulation de la source du trafic malveillant, l’accès aux systèmes des victimes, la communication avec des infrastructures contrôlées par les attaquants et la réalisation d’attaques par pulvérisation de mots de passe.

Un impact plus large et les prochaines étapes

Les chercheurs ont également relevé de possibles liens entre NetNut et d’autres familles de botnets, notamment des composants associés à Badbox 2.0. Des informations publiées précédemment ont par ailleurs indiqué que des infrastructures liées à NetNut avaient été utilisées dans des infections fondées sur Mirai.

Google a déclaré s’attendre à ce que l’opération affecte plus d’un fournisseur, tout en soulignant que ce marché peut s’adapter rapidement, les opérateurs pouvant parfois acheter de la capacité auprès de concurrents lorsque leurs propres systèmes sont touchés. L’entreprise a ajouté qu’un démantèlement durable nécessiterait probablement une coordination continue entre les fournisseurs d’accès à Internet, les plateformes mobiles et d’autres entreprises technologiques.