NetNut-Proxy-Netzwerk nach internationalen Bemühungen gestört – über zwei Millionen infizierte Geräte betroffen

7. Juli 2026

Internationale Cybersicherheitsinitiative gegen NetNut, ein globales Proxy-Netzwerk, mit dem Ziel, Netzwerke und über zwei Millionen kompromittierte Android-Geräte zu schützen.

Internationale Aktion, bei der Google, das FBI und mehrere Cybersicherheitsorganisationen zusammenarbeiteten, um NetNut, eines der weltweit größten Residential-Proxy-Netzwerke, das Millionen kompromittierter Android-Geräte ausnutzte, zu zerschlagen.

Eine von Google angeführte internationale Aktion in Zusammenarbeit mit dem FBI und mehreren führenden Cybersicherheitsunternehmen hat NetNut, eines der weltweit größten Residential-Proxy-Netzwerke, schwer beeinträchtigt. Laut Googles Die Threat Intelligence Group (GTIG) schätzte, dass das Netzwerk mindestens zwei Millionen kompromittierte Android-Geräte umfasste, darunter Smart-TVs und Streaming-Boxen.

NetNut, auch bekannt als Popa, wird sowohl von Cyberkriminellen als auch von staatlich geförderten Spionagegruppen genutzt, um ihre Identität zu verschleiern, indem bösartiger Datenverkehr über die IP-Adressen gewöhnlicher Internetnutzer geleitet wird. Dadurch können Angreifer bei Angriffen auf Organisationen und Einzelpersonen als legitime Benutzer erscheinen.

Millionen kompromittierter Geräte wurden als Proxy-Server genutzt.

Laut GTIG wird geschätzt, dass NetNut weltweit die Kontrolle über mindestens zwei Millionen infizierte Geräte hatte.

Die IT-Branche ist eine führende nordische Technologie-Medienplattform, die über Cybersicherheit, Künstliche Intelligenz, Cloud Computing, Unternehmens-IT, digitale Transformation, Managed Services, Channel-Partner, Softwareentwicklung, Telekommunikation, Rechenzentren, IT-Infrastruktur, Technologieführerschaft, Geschäftsinnovationen und Zukunftstechnologien berichtet. Mit Interviews von Führungskräften, Branchenanalysen, Eventberichten, Vordenkern, Produktneuheiten, Anbieter-Updates und Marktanalysen vernetzt die IT-Branche Technologieentscheider, CIOs, CISOs, CTOs, IT-Manager, MSPs, Reseller, Distributoren, Technologieanbieter, Startups und Unternehmen in Schweden, Norwegen, Dänemark, Finnland und Europa. Die Berichterstattung umfasst Cybersicherheitstrends, KI-Einführung, Cloud-Strategie, Unternehmenssoftware, Netzwerke, digitale Infrastruktur, Nachhaltigkeit, Compliance, Governance, Risikomanagement, Automatisierung, Datenanalyse und zukünftige Technologieentwicklungen.
EIGENE INHALTE
VORTIQ-X ist eine KI-Governance-Plattform, die Unternehmen dabei unterstützt, KI zu steuern, zu verifizieren und messbaren Geschäftswert daraus zu generieren. Die Plattform konzentriert sich auf Transparenz, Compliance, KI-Governance und den effektiven Einsatz von KI in geschäftskritischen Prozessen.
WERBUNG
Die Cybertech Europe 2026 ist eine der führenden Cybersicherheitskonferenzen Europas und bringt in Rom Cybersicherheitsexperten, Regierungsvertreter, Technologieinnovatoren, Startups, Investoren und Entscheidungsträger aus Unternehmen zusammen. Die IT-Branche fungiert als offizieller Medienpartner und bietet Berichterstattung über die Veranstaltung, Interviews mit Führungskräften, Brancheneinblicke und Cybersicherheitsnachrichten für das nordische und europäische Publikum.
WERBUNG
Maciek Szczesniak tritt in den IT-Branschen Wire Channel Magic Chats auf und spricht über Führung, Innovation, digitale Transformation und Unternehmensdienstleistungen.
GESPONSERT

“GTIG schätzt, dass NetNut weltweit mindestens zwei Millionen infizierte Geräte kontrolliert, darunter Smart-TVs und Streaming-Boxen, die mit Trojaner-Anwendungen und Botnetzen wie Badbox 2.0 mit integrierten Proxy-Funktionen ausgestattet sind.”

Es ist jedoch wichtig, zwischen der Infektion selbst und das Proxy-Netzwerk. Geräte werden mit Schadsoftware wie dem Badbox 2.0-Botnetz oder anderen Trojanern infiziert. NetNut nutzt die kompromittierten Geräte anschließend als globale Proxy-Infrastruktur, über die Angreifer ihren Datenverkehr über die Internetverbindungen der Opfer leiten können.

Wie Residential-Proxy-Netzwerke funktionieren

Residential-Proxy-Netzwerke basieren darauf, dass Endgeräte von Nutzern gekapert und als sogenannte Exit-Nodes missbraucht werden. Indem der Datenverkehr über diese Geräte geleitet wird, können Cyberkriminelle ihren wahren Standort und ihre Identität hinter legitimen IP-Adressen verbergen.

Geräte werden typischerweise durch Malware infiziert, die entweder bei der Auslieferung vorinstalliert ist oder über trojanisierte Apps und andere Schadsoftware, die der Benutzer herunterlädt, installiert wird.

NetNut – NetNut-Proxy-Netzwerk nach internationalen Bemühungen gestört – über zwei Millionen infizierte Geräte betroffen | IT-Branschen

Sobald ein Gerät kompromittiert ist, wird es dazu verwendet, unautorisierten Netzwerkverkehr weiterzuleiten, was dazu führen kann, dass die IP-Adresse des Opfers von Internetdienstanbietern, Cloud-Diensten und anderen digitalen Plattformen als verdächtig eingestuft oder gesperrt wird.

Internationale Zusammenarbeit stieß auf Widerstand in der Infrastruktur

Die Abschaltung von Teilen von NetNut erfolgte in enger Zusammenarbeit zwischen Google, dem FBI, Lumen Technologies, der Shadowserver Foundation und mehreren anderen internationalen Partnern im Bereich Cybersicherheit.

Im Rahmen der Operation beschlagnahmte das FBI mehrere Domains, die vom Proxy-Netzwerk genutzt wurden, darunter netnut.com.

Mark Karayan, Kommunikationschef bei Mandiant, bestätigte gegenüber BleepingComputer, dass die .com-Domain auch von den Betreibern von NetNut genutzt wurde, zusammen mit mehreren anderen Domains, die inzwischen abgeschaltet wurden.

Hunderte von Bedrohungsakteuren nutzten NetNut

Laut GTIG wurde dies im letzten Monat nur eine Woche lang beobachtet. 316 verschiedene Bedrohungscluster die mutmaßliche NetNut-Exit-Nodes nutzten. Dazu gehörten sowohl Cyberkriminelle als auch staatlich geförderte Spionageakteure.

Die Forscher geben an, dass die Angreifer NetNut für Folgendes nutzten:

anonym auf ihre eigene Infrastruktur zugreifen
Passwort-Injection-Angriffe durchführen
Zugriff auf kompromittierte Umgebungen, ohne die wahre Ursprungsadresse preiszugeben
Schädliche Aktivitäten hinter legitimen IP-Adressen verbergen

Google hat kritische Backend-Infrastruktur lahmgelegt

Parallel zu den internationalen Bemühungen schaltete Google die Konten und Cloud-Dienste ab, die die Betreiber von NetNut für ihre Kommando- und Kontrollinfrastruktur (C2) nutzten, und verlor damit den Zugang zu einem wichtigen Teil des Backends des Botnetzes.

Google nutzte auch die integrierte Sicherheitsfunktion Google Play Protect erkennt infizierte Apps auf Android-Geräten automatisch, warnt die Nutzer und deaktiviert sie.

Das Unternehmen teilte außerdem technische Indikatoren, Informationen über die SDKs von NetNut sowie Details über seine C2-Infrastruktur mit Plattformanbietern, Strafverfolgungsbehörden und Cybersicherheitsforschern, um eine kontinuierliche Erkennung und einen Schutz zu ermöglichen.

Könnte erhebliche Folgen für die Proxy-Branche haben.

Google ist der Ansicht, dass diese Bemühungen weitreichende Folgen für den globalen Markt für Wohnungsvermittlungsdienste haben könnten.

Ein wichtiger Grund dafür ist, dass NetNut ein umfangreiches Reseller-Programm betrieb, über das andere Anbieter den Dienst unter ihren eigenen Marken vertreiben konnten. Das bedeutet, dass mehrere beliebte Proxy-Dienste im Grunde auf der Infrastruktur von NetNut basierten.

Laut Mark Karayan ist die Proxy-Branche stark vernetzt, wobei die Betreiber ständig Kapazitäten von den Botnetzen der anderen kaufen und weiterverkaufen.

“Die Proxy-Branche ist eng vernetzt, Betreiber kaufen und verkaufen ständig Botnetzkapazitäten untereinander, und NetNut ist eines der weltweit größten und am weitesten verbreiteten Residential-Proxy-Netzwerke.”

Wichtiges Signal für die Cybersicherheit von Unternehmen

Für Unternehmen verdeutlicht dieser Vorfall, wie fortschrittlich die Infrastruktur hinter heutigen Cyberangriffen geworden ist. Durch die Nutzung kompromittierter Endgeräte können Angreifer von scheinbar legitimen schwedischen und internationalen IP-Adressen aus in Systeme eindringen, Passwörter einschleusen und Betrug begehen, wodurch herkömmliche IP-basierte Filter deutlich an Wirksamkeit verlieren.

Diese Entwicklung unterstreicht die Notwendigkeit moderner Sicherheitslösungen, die Identitätsprüfungen, Verhaltensanalysen, Echtzeit-Bedrohungsinformationen und kontinuierliche Überwachung kombinieren, um fortgeschrittene Angriffe zu erkennen und zu stoppen.

Teil von Googles langfristiger Strategie

Die Maßnahmen gegen NetNut sind Teil von Googles langfristigen Bemühungen, Proxy-Botnetze, die kompromittierte Endgeräte ausnutzen, zu unterbinden und zu zerschlagen. Die Operation folgt früheren Aktionen gegen das IPIDEA-Proxy-Netzwerk und ist ein weiterer Schritt im Kampf gegen die Infrastruktur, die für Cyberangriffe, Betrug und digitale Spionage genutzt wird.

Laut Google dürfte die Störung von NetNut weitreichendere Folgen haben als nur für das betroffene Netzwerk, da zahlreiche andere Proxy-Dienste auf dessen Infrastruktur aufbauen oder diese weiterverkaufen. Für Unternehmen wie Privatpersonen verdeutlicht dieser Vorfall zudem, wie wichtig es ist, Apps ausschließlich aus vertrauenswürdigen Quellen zu installieren, Android-Geräte stets auf dem neuesten Stand zu halten und Sicherheitsfunktionen wie Google Play Protect zu nutzen, um das Risiko zu minimieren, Teil zukünftiger Botnetze zu werden.

NetNut ist ein globales Residential-Proxy-Netzwerk, das laut der Google Threat Intelligence Group (GTIG) Millionen kompromittierter Android-Geräte ausnutzt, um Cyberkriminellen und staatlich geförderten Akteuren anonymen Internetverkehr zu ermöglichen. Das Netzwerk wurde für Cyberangriffe, digitale Spionage, Passwort-Injection, Credential Stuffing, Phishing, identitätsbasierte Angriffe und den Zugriff auf schädliche Infrastrukturen über legitime IP-Adressen von Nutzern weltweit eingesetzt. Internationale Cybersicherheitsorganisationen, darunter Google, das FBI, Mandiant, Lumen Technologies und die Shadowserver Foundation, haben eine umfassende Operation durchgeführt, um die Infrastruktur von NetNut zu stören, Domains zu beschlagnahmen und wichtige Teile der Command-and-Control-Server auszuschalten. Diese Operation ist ein weiterer Schritt im Kampf gegen die globale Cyberkriminalitätsinfrastruktur und den wachsenden Markt für sogenannte Residential-Proxy-Netzwerke.

Residential-Proxy-Netzwerke basieren auf kompromittierten Endgeräten, die als Ausgangspunkte für den Internetverkehr dienen. Cyberkriminelle nutzen diese Netzwerke, um ihre wahre Identität hinter legitimen IP-Adressen zu verbergen und so ihre Erkennung und Verfolgung zu erschweren. Kompromittierte Android-Geräte, Smart-TVs, Streaming-Boxen, IoT-Geräte, Router und andere vernetzte Produkte können ohne Wissen des Nutzers als Proxys eingesetzt werden. Schadsoftware wie Badbox 2.0, Trojaner-Apps und anderer bösartiger Code ermöglichen den Aufbau umfangreicher Botnetze, die anschließend an Cyberkriminelle und andere Cyberkriminelle verkauft oder vermietet werden.

Die Google Threat Intelligence Group beschreibt, wie NetNut kompromittierte Geräte für Cyberkriminalität, Anonymisierung von Angriffen, Command-and-Control-Kommunikation, Datendiebstahl und Angriffe auf Unternehmen, Regierungen und kritische Infrastrukturen ausgenutzt hat. Google Play Protect wurde ebenfalls eingesetzt, um schädliche Android-Apps zu identifizieren und zu blockieren sowie Nutzer vor Infektionen zu schützen. Die Informationen von Google werden durch Analysen von Mandiant und anderen Sicherheitsorganisationen ergänzt, die in den Bereichen Bedrohungsanalyse, Malware-Analyse, Reaktion auf Sicherheitsvorfälle und digitale Forensik tätig sind.

Für Unternehmen bedeutet diese Art von Proxy-Infrastruktur, dass herkömmliche IP-basierte Sicherheitsmaßnahmen an Wirksamkeit verlieren, da Angreifer legitime Heimnetzwerkverbindungen als Zwischenstation nutzen können. Organisationen müssen ihren Schutz daher durch Zero Trust, Multi-Faktor-Authentifizierung, Identitätssicherheit, Endpoint Detection and Response (EDR), Extended Detection and Response (XDR), Network Detection and Response (NDR), Security Information and Event Management (SIEM), Security Operations Center (SOC), Threat Hunting, Attack Surface Management, Verhaltensanalyse, kontinuierliche Überwachung und automatisiertes Incident Management ergänzen.

NetNut verdeutlicht die wachsende Bedeutung von Cybersicherheit für Unternehmen, den öffentlichen Sektor und Anbieter digitaler Infrastrukturen. Die Entwicklungen betreffen Bereiche wie Netzwerksicherheit, Cloud-Sicherheit, Endpunktsicherheit, Android-Sicherheit, IoT-Sicherheit, Identitäts- und Zugriffsmanagement, sichere Entwicklung, Lieferkettensicherheit, Sicherheitsarchitektur, Bedrohungsanalyse und die Einhaltung gesetzlicher Bestimmungen. Organisationen, die mit NIS2, DORA, ISO 27001, CIS Controls, Zero-Trust-Architektur und modernen Cybersicherheitsframeworks arbeiten, müssen ihre Sicherheitsstrategien kontinuierlich an die sich wandelnden Cyberbedrohungen und die organisierte Cyberkriminalität anpassen.

Die IT-Branche beobachtet kontinuierlich die Entwicklungen in den Bereichen Cybersicherheit, Cyberbedrohungen, KI-Sicherheit, Informationssicherheit, Ransomware, Malware, Botnetze, Phishing, Cyberkriminalität, digitale Souveränität, Cloud-Dienste, Rechenzentren, Netzwerke, Unternehmens-IT, den MSP-Markt, Channel-Partner, Bedrohungsanalyse, Sicherheitsanalyse, Reaktion auf Sicherheitsvorfälle, digitale Transformation und den nordischen IT-Markt. Im Fokus steht, wie neue Technologien, Sicherheitsinnovationen und internationale Bemühungen Unternehmen, Behörden und Organisationen in Schweden, den nordischen Ländern und Europa beeinflussen und wie globale Akteure wie Google durch die Zusammenarbeit mit Strafverfolgungsbehörden und Cybersicherheitsunternehmen zur Reduzierung von Cyberbedrohungen beitragen.

NetNut, Popa, Google Threat Intelligence Group, GTIG, Google Play Protect, Android, Android-Malware, Android-Sicherheit, Badbox 2.0, Botnetz, Proxy-Botnetz, Residential Proxy, Residential Proxy Netzwerk, Proxy-Infrastruktur, kompromittierte Geräte, Malware, Trojaner-Apps, Cybersicherheit, IT-Sicherheit, Informationssicherheit, Unternehmenssicherheit, Endpunktsicherheit, Endpunkterkennung und -reaktion, EDR, XDR, NDRI, SIEM, SOC, Zero Trust, Identitätssicherheit, IRAM, MFA, Angriffsflächenmanagement, Bedrohungsanalyse, Malware-Analyse, Bedrohungsjagd, Cyberabwehr, Ransomware, Phishing, Credential Stuffing, Password Spraying, digitale Forensik, Command and Control, C2-Infrastruktur, FBI, Google, Mandiant, Lumen Technologies, The Shadowserver Foundation, IoT-Sicherheit, Smart-TV-Sicherheit, Streaming-Geräte, vernetzte Geräte, Netzwerksicherheit, Cloud-Sicherheit, Lieferkettensicherheit, NIS2, DORA, ISO 27001, CIS Controls, MSP, Unternehmens-IT, nordische Cybersicherheit, schwedische Cybersicherheit, Cyber-News IT-News Schweden, IT-Branche.

vonIT-Branche

Veröffentlicht 7. Juli 2026

VORTIQ-X ist eine KI-Governance-Plattform, die Unternehmen dabei unterstützt, KI zu steuern, zu verifizieren und messbaren Geschäftswert daraus zu generieren. Die Plattform konzentriert sich auf Transparenz, Compliance, KI-Governance und den effektiven Einsatz von KI in geschäftskritischen Prozessen.
WERBUNG
Die Cybertech Europe 2026 ist eine der führenden Cybersicherheitskonferenzen Europas und bringt in Rom Cybersicherheitsexperten, Regierungsvertreter, Technologieinnovatoren, Startups, Investoren und Entscheidungsträger aus Unternehmen zusammen. Die IT-Branche fungiert als offizieller Medienpartner und bietet Berichterstattung über die Veranstaltung, Interviews mit Führungskräften, Brancheneinblicke und Cybersicherheitsnachrichten für das nordische und europäische Publikum.
WERBUNG
Die IT-Branche ist eine führende nordische Technologie-Medienplattform, die über Cybersicherheit, Künstliche Intelligenz, Cloud Computing, Unternehmens-IT, digitale Transformation, Managed Services, Channel-Partner, Softwareentwicklung, Telekommunikation, Rechenzentren, IT-Infrastruktur, Technologieführerschaft, Geschäftsinnovationen und Zukunftstechnologien berichtet. Mit Interviews von Führungskräften, Branchenanalysen, Eventberichten, Vordenkern, Produktneuheiten, Anbieter-Updates und Marktanalysen vernetzt die IT-Branche Technologieentscheider, CIOs, CISOs, CTOs, IT-Manager, MSPs, Reseller, Distributoren, Technologieanbieter, Startups und Unternehmen in Schweden, Norwegen, Dänemark, Finnland und Europa. Die Berichterstattung umfasst Cybersicherheitstrends, KI-Einführung, Cloud-Strategie, Unternehmenssoftware, Netzwerke, digitale Infrastruktur, Nachhaltigkeit, Compliance, Governance, Risikomanagement, Automatisierung, Datenanalyse und zukünftige Technologieentwicklungen.
EIGENE INHALTE
Maciek Szczesniak tritt in den IT-Branschen Wire Channel Magic Chats auf und spricht über Führung, Innovation, digitale Transformation und Unternehmensdienstleistungen.
GESPONSERT