NetNut proxy-netværk forstyrret efter international indsats – over to millioner inficerede enheder berørt

7. juli 2026

international cybersikkerhedsindsats mod NetNut, et globalt proxynetværk, med fokus på at beskytte netværk og over to millioner kompromitterede Android-enheder.

International indsats, hvor Google, FBI og adskillige cybersikkerhedsorganisationer samarbejdede om at forstyrre NetNut, et af verdens største proxy-netværk til private, der udnyttede millioner af kompromitterede Android-enheder.

En international indsats ledet af Google i samarbejde med FBI og flere førende cybersikkerhedsaktører har alvorligt forstyrret NetNut, et af verdens største proxy-netværk til private hjem. Ifølge Googles Threat Intelligence Group (GTIG) anslog, at netværket omfattede mindst to millioner kompromitterede Android-enheder, herunder smart-tv'er og streamingbokse.

NetNut, også kendt som Popa, er blevet brugt af både cyberkriminelle og statsstøttede spiongrupper til at skjule deres identiteter ved at dirigere ondsindet trafik gennem almindelige internetbrugeres IP-adresser, hvilket giver angribere mulighed for at fremstå som legitime brugere, når de udfører angreb på organisationer og enkeltpersoner.

Millioner af kompromitterede enheder blev brugt som proxyservere

Ifølge GTIG anslås det, at NetNut har haft kontrol over mindst to millioner inficerede enheder på verdensplan.

Cybertech Europe 2026 er en af Europas førende cybersikkerhedskonferencer, der samler cybersikkerhedsledere, embedsmænd, teknologiske innovatorer, startups, investorer og beslutningstagere i virksomheder i Rom. IT-branchen fungerer som officiel mediepartner og leverer dækning af begivenheder, interviews med ledere, brancheindsigt og cybersikkerhedsnyheder til nordiske og europæiske publikummer.
REKLAME
VORTIQ-X er en AI Governance-platform, der hjælper organisationer med at styre, verificere og skabe målbar forretningsværdi fra AI. Platformen fokuserer på gennemsigtighed, compliance, AI-governance og effektiv brug af AI i missionskritiske processer.
REKLAME
Maciek Szczesniak optræder på IT-Branschen Wire Channel Magic Chats, hvor han diskuterer lederskab, innovation, digital transformation og forretningsservice.
SPONSORERET
IT-branchen er en førende nordisk teknologiplatform, der dækker nyheder om cybersikkerhed, kunstig intelligens, cloud computing, virksomheds-IT, digital transformation, administrerede tjenester, kanalpartnere, softwareudvikling, telekommunikation, datacentre, IT-infrastruktur, teknologisk lederskab, forretningsinnovation og nye teknologier. Gennem interviews med ledere, brancheanalyser, eventdækning, thought leadership, produktlanceringer, leverandøropdateringer og markedsindsigt forbinder IT-branchen teknologiske beslutningstagere, CIO'er, CISO'er, CTO'er, IT-chefer, MSP'er, forhandlere, distributører, teknologileverandører, startups og virksomhedsorganisationer i Sverige, Norge, Danmark, Finland og Europa. Dækningen omfatter cybersikkerhedstendenser, AI-adoption, cloudstrategi, virksomhedssoftware, netværk, digital infrastruktur, bæredygtighed, compliance, governance, risikostyring, automatisering, dataanalyse og fremtidig teknologisk udvikling.
EGET INDHOLD

“"GTIG anslår, at NetNut kontrollerer mindst to millioner inficerede enheder globalt, herunder smart-tv'er og streamingbokse, der drives af trojanerbaserede applikationer og botnet som Badbox 2.0 med indbyggede proxyfunktioner."”

Det er dog vigtigt at skelne mellem selve infektionen og proxy-netværket. Enheder inficeres med malware, såsom Badbox 2.0 botnet eller andre trojanske applikationer. NetNut bruger derefter de kompromitterede enheder som en global proxyinfrastruktur, hvor angribere kan dirigere deres trafik gennem ofrenes internetforbindelser.

Sådan fungerer proxy-netværk til private

Private proxy-netværk er afhængige af, at forbrugerenheder kapres og bruges som såkaldte exit-noder. Ved at dirigere trafik gennem disse enheder kan cyberkriminelle skjule deres sande geografiske placering og identitet bag legitime IP-adresser.

Enheder inficeres typisk via malware, der enten er forudinstalleret ved levering eller installeret via trojanske apps og anden skadelig software, som brugeren downloader.

NetNut – NetNut proxy-netværk forstyrret efter international indsats – over to millioner inficerede enheder berørt | IT-branchen

Når en enhed er kompromitteret, bruges den til at videresende uautoriseret netværkstrafik, hvilket kan føre til, at offerets IP-adresse klassificeres som mistænkelig eller blokeres af internetudbydere, cloudtjenester og andre digitale platforme.

Internationalt samarbejde ramte infrastrukturen

Nedtagningen af dele af NetNut blev udført gennem et omfattende samarbejde mellem Google, FBI, Lumen Technologies, The Shadowserver Foundation og adskillige andre internationale cybersikkerhedspartnere.

Som en del af operationen beslaglagde FBI adskillige domæner, der blev brugt af proxy-netværket, herunder netnut.com.

Mark Karayan, kommunikationschef hos Mandiant, bekræftede over for BleepingComputer, at .com-domænet også blev brugt af NetNut-operatørerne sammen med flere andre domæner, der nu er blevet fjernet.

Hundredvis af trusselsaktører brugte NetNut

Ifølge GTIG blev det kun observeret i én uge sidste måned 316 forskellige trusselsgrupper som brugte formodede NetNut-exitnoder. Disse omfattede både cyberkriminelle grupper og statsstøttede spionageaktører.

Forskerne oplyser, at trusselsaktørerne brugte NetNut til at:

anonym adgang til deres egen infrastruktur
udføre password injection-angreb
nå kompromitterede miljøer uden at afsløre den sande oprindelsesadresse
skjul ondsindet aktivitet bag legitime IP-adresser

Google udfasede kritisk backend-infrastruktur

Parallelt med den internationale indsats lukkede Google de konti og cloudtjenester, som NetNut-operatører brugte til deres kommando- og kontrolinfrastruktur (C2), og mistede dermed adgangen til en central del af botnettets backend.

Google brugte også den indbyggede sikkerhedsfunktion Google Play Beskyt for automatisk at identificere, advare brugere og deaktivere inficerede apps på Android-enheder.

Virksomheden delte også tekniske indikatorer, information om NetNuts SDK'er og detaljer om sin C2-infrastruktur med platformleverandører, retshåndhævende myndigheder og cybersikkerhedsforskere for at fremme fortsat detektion og beskyttelse.

Kan få store konsekvenser for proxy-industrien

Google mener, at indsatsen kan få vidtrækkende konsekvenser for det globale marked for boligproxy-tjenester.

En vigtig årsag er, at NetNut kørte et omfattende videresalgsprogram, hvor andre udbydere kunne sælge tjenesten under deres egne brands. Det betyder, at flere populære proxy-tjenester i realiteten blev bygget på NetNuts infrastruktur.

Ifølge Mark Karayan er proxy-industrien stærkt forbundet, hvor operatører løbende køber og videresælger kapacitet fra hinandens botnet.

“"Proxyindustrien er dybt forbundet, hvor operatører konstant køber og videresælger hinandens botnetkapacitet, og NetNut er et af verdens største og mest anvendte proxynetværk til private hjem."”

Vigtigt signal for virksomheders cybersikkerhed

For virksomheder viser hændelsen, hvor avanceret infrastrukturen bag nutidens cyberangreb er blevet. Ved at bruge kompromitterede forbrugerenheder kan angribere udføre indbrud, adgangskodeindsprøjtningsangreb og svindel fra tilsyneladende legitime svenske og internationale IP-adresser, hvilket gør traditionel IP-baseret filtrering betydeligt mindre effektiv.

Udviklingen understreger behovet for moderne sikkerhedsløsninger, der kombinerer identitetstjek, adfærdsanalyse, trusselsinformation i realtid og kontinuerlig overvågning for at opdage og stoppe avancerede angreb.

En del af Googles langsigtede strategi

Aktionen mod NetNut er en del af Googles langsigtede indsats for at forstyrre og afvikle proxy-botnet, der udnytter kompromitterede forbrugerenheder. Operationen følger tidligere indsatser mod IPIDEA-proxynetværket og markerer endnu et skridt i indsatsen for at forstyrre den infrastruktur, der bruges til cyberangreb, svindel og digital spionage.

Ifølge Google forventes forstyrrelsen af NetNut at have en bredere indvirkning end blot det individuelle netværk, da flere andre proxytjenester bygger videre på eller videresælger dets infrastruktur. For både virksomheder og enkeltpersoner er indsatsen også en påmindelse om vigtigheden af kun at installere apps fra pålidelige kilder, holde Android-enheder opdaterede og bruge sikkerhedsfunktioner som Google Play Protect for at reducere risikoen for at blive en del af fremtidige botnet.

NetNut er et globalt proxynetværk til private, der ifølge Google Threat Intelligence Group (GTIG) har udnyttet millioner af kompromitterede Android-enheder til at levere anonym internettrafik til cyberkriminelle og statsstøttede trusselsaktører. Netværket er blevet brugt til cyberangreb, digital spionage, adgangskodeindsprøjtning, legitimationskopiering, phishing, identitetsbaserede angreb og adgang til ondsindet infrastruktur via legitime forbruger-IP-adresser verden over. Internationale cybersikkerhedsorganisationer, herunder Google, FBI, Mandiant, Lumen Technologies og The Shadowserver Foundation, har gennemført en omfattende operation for at forstyrre NetNuts infrastruktur, beslaglægge domæner og ødelægge centrale dele af dens kommando- og kontrolservere. Operationen markerer endnu et skridt i kampen mod den globale cyberkriminalitetsinfrastruktur og det voksende marked for såkaldte proxynetværk til private.

Private proxy-netværk er baseret på kompromitterede forbrugerenheder, der bruges som exit-noder for internettrafik. Cyberkriminelle bruger disse netværk til at skjule deres sande identitet bag legitime IP-adresser, hvilket gør detektion og sporing vanskeligere. Kompromitterede Android-enheder, smart-tv'er, streamingbokse, IoT-enheder, routere og andre forbundne produkter kan bruges som proxyer uden brugerens viden. Malware som Badbox 2.0, trojanske apps og anden ondsindet kode muliggør oprettelsen af omfattende botnet, der senere sælges eller udlejes til cyberkriminelle organisationer og avancerede trusselsaktører.

Google Threat Intelligence Group beskriver, hvordan NetNut har udnyttet kompromitterede enheder til at understøtte cyberkriminalitet, anonymisering af angreb, kommando- og kontroltrafik, datatyveri og angreb mod virksomheder, regeringer og kritisk infrastruktur. Google Play Protect er også blevet brugt til at identificere og blokere ondsindede Android-apps og beskytte brugere mod infektion. Oplysningerne fra Google suppleres af analyser fra Mandiant og andre sikkerhedsorganisationer, der arbejder med trusselsintelligens, malwareanalyse, hændelsesrespons og digital retsmedicin.

For virksomheder betyder denne type proxy-infrastruktur, at traditionel IP-baseret sikkerhed bliver mindre effektiv, fordi angribere kan bruge legitime private forbindelser som mellemled. Organisationer er derfor nødt til at supplere deres beskyttelse med Zero Trust, multifaktor-godkendelse, identitetssikkerhed, endpoint detection and response (EDR), extended detection and response (XDR), network detection and response (NDR), security information and event management (SIEM), Security Operations Center (SOC), threat hunting, attack surface management, adfærdsanalyse, kontinuerlig overvågning og automatiseret hændelsesstyring.

NetNut illustrerer den voksende betydning af cybersikkerhed for virksomheder, den offentlige sektor og udbydere af digital infrastruktur. Udviklingen påvirker områder som netværkssikkerhed, cloudsikkerhed, endpoint-sikkerhed, Android-sikkerhed, IoT-sikkerhed, identitets- og adgangsstyring, sikker udvikling, forsyningskædesikkerhed, sikkerhedsarkitektur, trusselsinformation og overholdelse af lovgivningen. Organisationer, der arbejder med NIS2, DORA, ISO 27001, CIS Controls, Zero Trust Architecture og moderne cybersikkerhedsrammer, skal løbende tilpasse deres sikkerhedsstrategier for at imødekomme udviklingen af cybertrusler og organiseret cyberkriminalitet.

IT-branchen overvåger løbende udviklingen inden for cybersikkerhed, cybertrusler, AI-sikkerhed, informationssikkerhed, ransomware, malware, botnets, phishing, cyberkriminalitet, digital suverænitet, cloudtjenester, datacentre, netværk, virksomheds-IT, MSP-markedet, kanalpartnere, trusselsinformation, sikkerhedsanalyse, incident response, digital transformation og det nordiske IT-marked. Fokus er på, hvordan ny teknologi, sikkerhedsinnovationer og internationale indsatser påvirker virksomheder, myndigheder og organisationer i Sverige, Norden og Europa, samt hvordan globale aktører som Google bidrager til at reducere cybertrusler gennem samarbejde med retshåndhævende myndigheder og cybersikkerhedsvirksomheder.

NetNut, Popa, Google Threat Intelligence Group, GTIG, Google Play Protect, Android, Android malware, Android-sikkerhed, Badbox 2.0, botnet, proxybotnet, boligproxy, boligproxynetværk, proxyinfrastruktur, kompromitterede enheder, malware, trojanske apps, cybersikkerhed, cybersikkerhed, IT-sikkerhed, informationssikkerhed, virksomhedssikkerhed, endpoint-sikkerhed, endpoint-detektion og -respons, EDR, XDR, NDRI, SIEM, SOC, Zero Trust, identitetssikkerhed, IRAM, MFA, angrebsoverfladehåndtering, trusselsintelligens, malwareanalyse, trusselsjagt, cyberforsvar, ransomware, phishing, credential stuffing, password spraying, digital retsmedicin, kommando og kontrol, C2-infrastruktur, FBI, Google, Mandiant, Lumen Technologies, The Shadowserver Foundation, IoT-sikkerhed, smart TV-sikkerhed, streamingenheder, forbundne enheder, netværkssikkerhed, cloud-sikkerhed, forsyningskædesikkerhed, NIS2, DORA, ISO 27001, CIS Controls, MSP, virksomheds-IT, nordisk cybersikkerhed, svensk cybersikkerhed, cybernyheder, IT-nyheder Sverige, IT-branchen.

vedIT-branchen

Udgivet 7. juli 2026

Cybertech Europe 2026 er en af Europas førende cybersikkerhedskonferencer, der samler cybersikkerhedsledere, embedsmænd, teknologiske innovatorer, startups, investorer og beslutningstagere i virksomheder i Rom. IT-branchen fungerer som officiel mediepartner og leverer dækning af begivenheder, interviews med ledere, brancheindsigt og cybersikkerhedsnyheder til nordiske og europæiske publikummer.
REKLAME
IT-branchen er en førende nordisk teknologiplatform, der dækker nyheder om cybersikkerhed, kunstig intelligens, cloud computing, virksomheds-IT, digital transformation, administrerede tjenester, kanalpartnere, softwareudvikling, telekommunikation, datacentre, IT-infrastruktur, teknologisk lederskab, forretningsinnovation og nye teknologier. Gennem interviews med ledere, brancheanalyser, eventdækning, thought leadership, produktlanceringer, leverandøropdateringer og markedsindsigt forbinder IT-branchen teknologiske beslutningstagere, CIO'er, CISO'er, CTO'er, IT-chefer, MSP'er, forhandlere, distributører, teknologileverandører, startups og virksomhedsorganisationer i Sverige, Norge, Danmark, Finland og Europa. Dækningen omfatter cybersikkerhedstendenser, AI-adoption, cloudstrategi, virksomhedssoftware, netværk, digital infrastruktur, bæredygtighed, compliance, governance, risikostyring, automatisering, dataanalyse og fremtidig teknologisk udvikling.
EGET INDHOLD
VORTIQ-X er en AI Governance-platform, der hjælper organisationer med at styre, verificere og skabe målbar forretningsværdi fra AI. Platformen fokuserer på gennemsigtighed, compliance, AI-governance og effektiv brug af AI i missionskritiske processer.
REKLAME
Maciek Szczesniak optræder på IT-Branschen Wire Channel Magic Chats, hvor han diskuterer lederskab, innovation, digital transformation og forretningsservice.
SPONSORERET