NetNut proxy-nettverk forstyrret etter internasjonal innsats – over to millioner infiserte enheter berørt

7. juli 2026

internasjonal cybersikkerhetsinnsats mot NetNut, et globalt proxy-nettverk, med fokus på å beskytte nettverk og over to millioner kompromitterte Android-enheter.

Internasjonal innsats der Google, FBI og flere nettsikkerhetsorganisasjoner samarbeidet for å forstyrre NetNut, et av verdens største proxy-nettverk for boliger som utnyttet millioner av kompromitterte Android-enheter.

En internasjonal innsats ledet av Google, i samarbeid med FBI og flere ledende aktører innen cybersikkerhet, har alvorlig forstyrret NetNut, et av verdens største proxy-nettverk for private. Ifølge Googles Threat Intelligence Group (GTIG) anslo at nettverket omfattet minst to millioner kompromitterte Android-enheter, inkludert smart-TV-er og strømmebokser.

NetNut, også kjent som Popa, har blitt brukt av både nettkriminelle og statsstøttede spiongrupper for å skjule identiteten sin ved å rute ondsinnet trafikk gjennom IP-adressene til vanlige internettbrukere, slik at angripere kan fremstå som legitime brukere når de utfører angrep på organisasjoner og enkeltpersoner.

Millioner av kompromitterte enheter ble brukt som proxy-servere

Ifølge GTIG anslås det at NetNut hadde kontroll over minst to millioner infiserte enheter over hele verden.

Cybertech Europe 2026 er en av Europas ledende konferanser innen cybersikkerhet, som samler ledere innen cybersikkerhet, myndighetspersoner, teknologiinnovatører, oppstartsbedrifter, investorer og beslutningstakere i bedrifter i Roma. IT-bransjen fungerer som en offisiell mediepartner og tilbyr arrangementsdekning, intervjuer med ledere, bransjeinnsikt og nyheter om cybersikkerhet for nordiske og europeiske publikum.
ANNONSE
IT-bransjen er en ledende nordisk teknologiplattform som dekker nyheter om cybersikkerhet, kunstig intelligens, skytjenester, bedrifts-IT, digital transformasjon, administrerte tjenester, kanalpartnere, programvareutvikling, telekommunikasjon, datasentre, IT-infrastruktur, teknologiledelse, forretningsinnovasjon og nye teknologier. Gjennom lederintervjuer, bransjeanalyser, arrangementsdekning, tankelederskap, produktlanseringer, leverandøroppdateringer og markedsinnsikt, kobler IT-bransjen teknologiske beslutningstakere, IT-sjefer, IT-sjefer, MSP-er, forhandlere, distributører, teknologileverandører, oppstartsbedrifter og bedriftsorganisasjoner i Sverige, Norge, Danmark, Finland og Europa. Dekningen inkluderer cybersikkerhetstrender, AI-adopsjon, skystrategi, bedriftsprogramvare, nettverk, digital infrastruktur, bærekraft, samsvar, styring, risikostyring, automatisering, dataanalyse og fremtidig teknologiutvikling.
EGET INNHOLD
Maciek Szczesniak deltar på IT-Branschen Wire Channel Magic Chats, hvor han diskuterer lederskap, innovasjon, digital transformasjon og forretningstjenester.
SPONSET
VORTIQ-X er en plattform for AI-styring som hjelper organisasjoner med å styre, verifisere og skape målbar forretningsverdi fra AI. Plattformen fokuserer på åpenhet, samsvar, AI-styring og effektiv bruk av AI i forretningskritiske prosesser.
ANNONSE

“GTIG anslår at NetNut kontrollerer minst to millioner infiserte enheter globalt, inkludert smart-TV-er og strømmebokser, drevet av trojanerrammede applikasjoner og botnett som Badbox 2.0 med innebygde proxy-funksjoner.”

Det er imidlertid viktig å skille mellom selve infeksjonen og proxy-nettverket. Enheter infiseres med skadelig programvare, som for eksempel Badbox 2.0-botnettet eller andre trojanere. NetNut bruker deretter de kompromitterte enhetene som en global proxy-infrastruktur der angripere kan rute trafikken sin gjennom ofrenes internettforbindelser.

Hvordan boligproxy-nettverk fungerer

Proxy-nettverk i boliger er avhengige av at forbrukerenheter kapres og brukes som såkalte utgangsnoder. Ved å rute trafikk gjennom disse enhetene kan nettkriminelle skjule sin sanne geografiske plassering og identitet bak legitime IP-adresser.

Enheter infiseres vanligvis via skadelig programvare som enten er forhåndsinstallert ved levering eller installert via trojanske apper og annen skadelig programvare som brukeren laster ned.

NetNut – NetNut-proxynettverk forstyrret etter internasjonal innsats – over to millioner infiserte enheter berørt | IT-bransjen

Når en enhet er kompromittert, brukes den til å videresende uautorisert nettverkstrafikk, noe som kan føre til at offerets IP-adresse klassifiseres som mistenkelig eller blokkeres av internettleverandører, skytjenester og andre digitale plattformer.

Internasjonalt samarbeid rammet infrastrukturen

Fjerningen av deler av NetNut ble utført gjennom et omfattende samarbeid mellom Google, FBI, Lumen Technologies, The Shadowserver Foundation og flere andre internasjonale partnere innen cybersikkerhet.

Som en del av operasjonen beslagla FBI flere domener som ble brukt av proxy-nettverket, inkludert netnut.com.

Mark Karayan, kommunikasjonssjef hos Mandiant, bekreftet overfor BleepingComputer at .com-domenet også ble brukt av NetNut-operatørene sammen med flere andre domener som nå er fjernet.

Hundrevis av trusselaktører brukte NetNut

Ifølge GTIG ble det bare observert i én uke forrige måned 316 forskjellige trusselklynger som brukte mistenkte NetNut-utgangsnoder. Disse inkluderte både nettkriminelle grupper og statsstøttede spionasjeaktører.

Forskerne oppgir at trusselaktørene brukte NetNut til å:

anonym tilgang til sin egen infrastruktur
utføre passordinjeksjonsangrep
nå kompromitterte miljøer uten å avsløre den virkelige opprinnelsesadressen
skjul ondsinnet aktivitet bak legitime IP-adresser

Google slo ut kritisk backend-infrastruktur

Parallelt med den internasjonale innsatsen stengte Google ned kontoene og skytjenestene som NetNut-operatørene brukte til sin kommando- og kontrollinfrastruktur (C2), og mistet dermed tilgangen til en sentral del av botnettets backend.

Google brukte også den innebygde sikkerhetsfunksjonen Google Play Beskytt for å automatisk identifisere, advare brukere og deaktivere infiserte apper på Android-enheter.

Selskapet delte også tekniske indikatorer, informasjon om NetNuts SDK-er og detaljer om C2-infrastrukturen med plattformleverandører, politimyndigheter og forskere innen nettsikkerhet for å legge til rette for fortsatt deteksjon og beskyttelse.

Kan få store konsekvenser for proxy-bransjen

Google mener at innsatsen kan få vidtrekkende konsekvenser for det globale markedet for boligmeglertjenester.

En viktig grunn er at NetNut drev et omfattende videreselgerprogram der andre leverandører kunne selge tjenesten under sine egne merkevarer. Dette betyr at flere populære proxy-tjenester i praksis ble bygget på NetNuts infrastruktur.

Ifølge Mark Karayan er proxy-bransjen sterkt sammenkoblet, med operatører som kontinuerlig kjøper og videreselger kapasitet fra hverandres botnett.

“Proxy-bransjen er dypt sammenkoblet, med operatører som stadig kjøper og videreselger hverandres botnettkapasitet, og NetNut er et av verdens største og mest brukte proxy-nettverk for private.”

Viktig signal for bedrifters cybersikkerhet

For bedrifter viser hendelsen hvor avansert infrastrukturen bak dagens cyberangrep har blitt. Ved å bruke kompromitterte forbrukerenheter kan angripere utføre inntrenging, passordinjeksjonsangrep og svindel fra tilsynelatende legitime svenske og internasjonale IP-adresser, noe som gjør tradisjonell IP-basert filtrering betydelig mindre effektiv.

Utviklingen understreker behovet for moderne sikkerhetsløsninger som kombinerer identitetssjekker, atferdsanalyse, trusselinformasjon i sanntid og kontinuerlig overvåking for å oppdage og stoppe avanserte angrep.

En del av Googles langsiktige strategi

Tiltaket mot NetNut er en del av Googles langsiktige innsats for å forstyrre og demontere proxy-botnett som utnytter kompromitterte forbrukerenheter. Operasjonen følger tidligere forsøk mot IPIDEA-proxynettverket og markerer et nytt skritt i arbeidet med å forstyrre infrastrukturen som brukes til cyberangrep, svindel og digital spionasje.

Ifølge Google forventes det at forstyrrelsen av NetNut vil ha en bredere innvirkning enn bare det individuelle nettverket, ettersom flere andre proxy-tjenester bygger på eller videreselger infrastrukturen deres. For både bedrifter og enkeltpersoner er innsatsen også en påminnelse om viktigheten av kun å installere apper fra pålitelige kilder, holde Android-enheter oppdaterte og bruke sikkerhetsfunksjoner som Google Play Protect for å redusere risikoen for å bli en del av fremtidige botnett.

NetNut er et globalt proxy-nettverk for private som, ifølge Google Threat Intelligence Group (GTIG), har utnyttet millioner av kompromitterte Android-enheter for å gi anonym internettrafikk til nettkriminelle og statsstøttede trusselaktører. Nettverket har blitt brukt til nettangrep, digital spionasje, passordinjeksjon, legitimasjonskopiering, phishing, identitetsbaserte angrep og tilgang til ondsinnet infrastruktur via legitime forbruker-IP-adresser over hele verden. Internasjonale nettsikkerhetsorganisasjoner, inkludert Google, FBI, Mandiant, Lumen Technologies og The Shadowserver Foundation, har gjennomført en omfattende operasjon for å forstyrre NetNuts infrastruktur, beslaglegge domener og ødelegge viktige deler av kommando- og kontrollserverne. Operasjonen markerer et nytt skritt i kampen mot den globale nettkriminalitetsinfrastrukturen og det voksende markedet for såkalte proxy-nettverk for private.

Residential proxy-nettverk er basert på kompromitterte forbrukerenheter som brukes som utgangsnoder for internettrafikk. Nettkriminelle bruker disse nettverkene til å skjule sin sanne identitet bak legitime IP-adresser, noe som gjør deteksjon og sporing vanskeligere. Kompromitterte Android-enheter, smart-TV-er, strømmebokser, IoT-enheter, rutere og andre tilkoblede produkter kan brukes som proxyer uten brukerens viten. Skadevare som Badbox 2.0, trojanere og annen ondsinnet kode tillater opprettelse av omfattende botnett som senere selges eller leies ut til nettkriminelle organisasjoner og avanserte trusselaktører.

Google Threat Intelligence Group beskriver hvordan NetNut har utnyttet kompromitterte enheter for å støtte nettkriminalitet, anonymisering av angrep, kommando- og kontrolltrafikk, datatyveri og angrep mot bedrifter, myndigheter og kritisk infrastruktur. Google Play Protect har også blitt brukt til å identifisere og blokkere ondsinnede Android-apper og beskytte brukere mot infeksjon. Informasjonen fra Google suppleres av analyser fra Mandiant og andre sikkerhetsorganisasjoner som jobber med trusselinformasjon, analyse av skadelig programvare, hendelsesrespons og digital etterforskning.

For bedrifter betyr denne typen proxy-infrastruktur at tradisjonell IP-basert sikkerhet blir mindre effektiv fordi angripere kan bruke legitime boligtilkoblinger som mellomledd. Organisasjoner må derfor supplere beskyttelsen sin med nulltillit, flerfaktorautentisering, identitetssikkerhet, endepunktdeteksjon og -respons (EDR), utvidet deteksjon og respons (XDR), nettverksdeteksjon og -respons (NDR), sikkerhetsinformasjon og hendelseshåndtering (SIEM), sikkerhetsoperasjonssenter (SOC), trusseljakt, angrepsoverflatehåndtering, atferdsanalyse, kontinuerlig overvåking og automatisert hendelseshåndtering.

NetNut illustrerer den økende betydningen av cybersikkerhet for bedrifter, offentlig sektor og leverandører av digital infrastruktur. Utviklingen påvirker områder som nettverkssikkerhet, skysikkerhet, endepunktsikkerhet, Android-sikkerhet, IoT-sikkerhet, identitets- og tilgangshåndtering, sikker utvikling, forsyningskjedesikkerhet, sikkerhetsarkitektur, trusselinformasjon og samsvar med regelverk. Organisasjoner som jobber med NIS2, DORA, ISO 27001, CIS Controls, Zero Trust Architecture og moderne rammeverk for cybersikkerhet må kontinuerlig tilpasse sikkerhetsstrategiene sine for å møte utviklingen av cybertrusler og organisert cyberkriminalitet.

IT-bransjen overvåker kontinuerlig utviklingen innen cybersikkerhet, cybertrusler, AI-sikkerhet, informasjonssikkerhet, ransomware, malware, botnett, phishing, nettkriminalitet, digital suverenitet, skytjenester, datasentre, nettverk, bedrifts-IT, MSP-markedet, kanalpartnere, trusselinformasjon, sikkerhetsanalyse, hendelsesrespons, digital transformasjon og det nordiske IT-markedet. Fokuset er på hvordan ny teknologi, sikkerhetsinnovasjoner og internasjonal innsats påvirker bedrifter, myndigheter og organisasjoner i Sverige, Norden og Europa, samt hvordan globale aktører som Google bidrar til å redusere cybertrusler gjennom samarbeid med politimyndigheter og cybersikkerhetsselskaper.

NetNut, Popa, Google Threat Intelligence Group, GTIG, Google Play Protect, Android, Android-skadevare, Android-sikkerhet, Badbox 2.0, botnett, proxybotnett, boligproxy, boligproxynettverk, proxy-infrastruktur, kompromitterte enheter, skadevare, trojaneriserte apper, cybersikkerhet, cybersikkerhet, IT-sikkerhet, informasjonssikkerhet, bedriftssikkerhet, endepunktsikkerhet, endepunktdeteksjon og -respons, EDR, XDR, NDRI, SIEM, SOC, Null tillit, identitetssikkerhet, IRAM, MFA, angrepsflatehåndtering, trusselintelligens, skadevareanalyse, trusseljakt, cyberforsvar, cyberforsvar, løsepengevirus, phishing, legitimasjonsfylling, passordspraying, digital etterforskning, kommando og kontroll, C2-infrastruktur, FBI, Google, Mandiant, Lumen Technologies, The Shadowserver Foundation, IoT-sikkerhet, smart-TV-sikkerhet, strømmeenheter, tilkoblede enheter, nettverkssikkerhet, skysikkerhet, forsyningskjedesikkerhet, NIS2, DORA, ISO 27001, CIS Controls, MSP, bedrifts-IT, nordisk cybersikkerhet, svensk cybersikkerhet, cybernyheter, IT-nyheter Sverige, IT-bransjen.

vedIT-bransjen

Publisert 7. juli 2026

IT-bransjen er en ledende nordisk teknologiplattform som dekker nyheter om cybersikkerhet, kunstig intelligens, skytjenester, bedrifts-IT, digital transformasjon, administrerte tjenester, kanalpartnere, programvareutvikling, telekommunikasjon, datasentre, IT-infrastruktur, teknologiledelse, forretningsinnovasjon og nye teknologier. Gjennom lederintervjuer, bransjeanalyser, arrangementsdekning, tankelederskap, produktlanseringer, leverandøroppdateringer og markedsinnsikt, kobler IT-bransjen teknologiske beslutningstakere, IT-sjefer, IT-sjefer, MSP-er, forhandlere, distributører, teknologileverandører, oppstartsbedrifter og bedriftsorganisasjoner i Sverige, Norge, Danmark, Finland og Europa. Dekningen inkluderer cybersikkerhetstrender, AI-adopsjon, skystrategi, bedriftsprogramvare, nettverk, digital infrastruktur, bærekraft, samsvar, styring, risikostyring, automatisering, dataanalyse og fremtidig teknologiutvikling.
EGET INNHOLD
Maciek Szczesniak deltar på IT-Branschen Wire Channel Magic Chats, hvor han diskuterer lederskap, innovasjon, digital transformasjon og forretningstjenester.
SPONSET
Cybertech Europe 2026 er en av Europas ledende konferanser innen cybersikkerhet, som samler ledere innen cybersikkerhet, myndighetspersoner, teknologiinnovatører, oppstartsbedrifter, investorer og beslutningstakere i bedrifter i Roma. IT-bransjen fungerer som en offisiell mediepartner og tilbyr arrangementsdekning, intervjuer med ledere, bransjeinnsikt og nyheter om cybersikkerhet for nordiske og europeiske publikum.
ANNONSE
VORTIQ-X er en plattform for AI-styring som hjelper organisasjoner med å styre, verifisere og skape målbar forretningsverdi fra AI. Plattformen fokuserer på åpenhet, samsvar, AI-styring og effektiv bruk av AI i forretningskritiske prosesser.
ANNONSE