Google và FBI phối hợp làm suy yếu mạng proxy dân cư NetNut với 2 triệu thiết bị
"Google, the FBI, Lumen, Shadowserver, and others reportedly degraded the NetNut residential proxy network in an ongoing disruption effort against cybercrime infrastructure. Google said NetNut may have enrolled at least 2 million devices, and its exit nodes were observed being used by 316 threat clusters in June 2026 for masking origin IPs, password spraying, and other malicious activity; no CVE was mentioned, and the action was a network takedown rather than a software patch."
Tác động bảo mật ở mức cao nhờ gián đoạn hạ tầng proxy và giảm khả năng che giấu IP nguồn của đối tượng tấn công; đồng thời ghi nhận 316 cụm đe doạ sử dụng exit nodes trong tháng 6/2026.
Ảnh hưởng vận hành ở mức trung bình: việc gián đoạn có thể làm giảm nguồn lực tấn công, nhưng thị trường proxy dân cư có thể tái phân bổ năng lực qua các nhà cung cấp khác; doanh nghiệp cần rà soát rủi ro đăng nhập và giám sát truy cập bất thường.
Các công ty công nghệ và cơ quan thực thi pháp luật của Mỹ cho biết đã làm suy yếu đáng kể mạng proxy dân cư của NetNut như một phần của nỗ lực gián đoạn hạ tầng phục vụ tội phạm mạng. Hoạt động do Google, Lumen, Shadowserver, FBI và các bên liên quan thực hiện, tiếp nối đợt gián đoạn IPIDEA từ tháng 1.
Theo thông tin từ Google Cloud, nhóm tham gia đánh giá NetNut là một trong những nhà cung cấp proxy dân cư phổ biến và có ít nhất 2 triệu thiết bị được đưa vào “botnet”, chủ yếu là các thiết bị phần cứng nhỏ dùng cho phát trực tuyến TV. Mạng này được tội phạm mạng khai thác để khiến lưu lượng trông như xuất phát từ các hộ gia đình/doanh nghiệp hợp pháp.
Trong tuần đầu tháng 6/2026, 316 cụm tác nhân đe doạ được quan sát sử dụng các “exit nodes” nghi là của NetNut. Các mục đích gồm che giấu IP nguồn, truy cập môi trường nạn nhân, truy cập hạ tầng của kẻ tấn công và password spraying.
Khuyến nghị: doanh nghiệp cần từ chối các lời mời chạy SDK/ứng dụng “kiếm tiền băng thông”, rà soát thiết bị đầu cuối và mạng nội bộ để phát hiện bất thường, đồng thời tăng cường kiểm soát đăng nhập (MFA, giới hạn thử mật khẩu) để giảm rủi ro từ các chiến dịch dạng spraying.