Google, junto al FBI, ha debilitado la red NetNut, que convertía millones de dispositivos domésticos en proxies para canalizar tráfico ajeno. Esta red, vinculada a la empresa Alarum Technologies, utilizaba apps gratuitas y hardware genérico para ocultar la identidad de ciberdelincuentes y espías. Los expertos recomiendan evitar apps que ofrecen dinero por compartir el ancho de banda y comprar dispositivos de marcas reconocidas.





Google ha degradado significativamente NetNut, una de las redes más grandes que convierte dispositivos domésticos en relés alquilados para el tráfico de otras personas.

Trabajando con el FBI, Lumen y otros, el Grupo de Inteligencia de Amenazas de Google (GTIG) dijo esta semana que había reducido el grupo de dispositivos utilizables de la red en millones.

Google identifica a NetNut, también rastreado como Popa, como una red extendida por dispositivos domésticos en todo el mundo, incluyendo televisores inteligentes y cajas de streaming, y el GTIG estima que la red posee al menos 2 millones de dispositivos.

Si uno de esos dispositivos está en tu hogar, extraños pueden enrutar su propio tráfico a través de tu conexión a internet, y tu dirección recibirá la culpa de cualquier cosa que hagan con ella.

Cómo funciona

Una red de proxies residenciales vende acceso a direcciones de internet domésticas reales. Los atacantes pagan para enrutar su tráfico a través de tu conexión para que parezca una navegación doméstica ordinaria, y no el tráfico de centros de datos que las herramientas de seguridad suelen bloquear.

Para construir ese grupo, los operadores necesitan que su código se ejecute en dispositivos domésticos. Algunos dispositivos ya lo traen preinstalado en hardware barato de marcas desconocidas; otros lo adquieren cuando alguien instala una aplicación gratuita que lo oculta. Una vez que se está ejecutando, el dispositivo se convierte en un "nodo de salida", una puerta por la que fluye el tráfico de otras personas.

Google afirma que un nodo de salida introduce tráfico externo en la red doméstica, dando a los atacantes un punto de apoyo para llegar a otros dispositivos en ella. Algunos de estos aparatos domésticos también han sido absorbidos por grandes botnets de ataque como Mirai y Badbox 2.0.

En una sola semana de junio, el GTIG contó 316 clústeres de amenazas distintos que utilizaban presuntos nodos de salida de NetNut, incluidos grupos de ciberdelincuencia y espionaje, para ocultar su ubicación real y realizar ataques de adivinación de contraseñas.

La empresa detrás de esto

A diferencia de la mayoría de las botnets de proxy, NetNut se remonta a una empresa pública. En junio, investigadores de Qurium, Synthient, Nokia Deepfield y Spur vincularon a Popa con NetNut.

NetNut es un proveedor de proxy propiedad de la empresa israelí Alarum Technologies (NASDAQ: ALAR), que cotiza en bolsa. En una prueba controlada, Synthient dijo que el tráfico que envió a la pasarela comercial de NetNut salió a través de un dispositivo que había inscrito en Popa.

Synthient planteó esto como una evidencia de la ruta del tráfico, no como una prueba de lo que NetNut sabía o pretendía. La inteligencia de Google coincide: trata a NetNut y Popa como la misma red, y afirma que los informes públicos coinciden con su visión de cómo NetNut construye su botnet.



Alarum rechaza la etiqueta de "botnet". Califica la investigación como "afirmaciones demostrablemente inexactas y deducciones erróneas en lugar de hechos verificados", y afirma que su software es para un intercambio de ancho de banda consentido que no compromete los dispositivos en los que se ejecuta.

Las pruebas de los investigadores complican esa defensa: Synthient informó que ninguna de las más de 20 aplicaciones que examinó mostró realmente a los usuarios un aviso de consentimiento.

Por qué un solo derribo no es suficiente

Cortar a NetNut es complicado por diseño. NetNut gestiona un programa de revendedores que permite a otras empresas vender su red bajo sus propias marcas. Google afirma tener una alta confianza en que muchas marcas de proxy populares y aparentemente separadas están en realidad revendiendo el mismo grupo de NetNut.

Por lo tanto, un único derribo repercute en muchas marcas que parecen independientes pero no lo son.

Esa es también la razón por la que Google llama a esto "degradación" y no una eliminación total. Afirma que su acción anterior contra una red similar, IPIDEA, mostró que estas redes pueden parecer resilientes: los operadores comienzan a comprar capacidad de rivales, convirtiéndose a su vez en revendedores. El daño real y duradero, dice Google, implica atacar a varios proveedores conectados a la vez.

En enero, Google y sus socios interrumpieron IPIDEA, una red con sede en China que en su apogeo fue una de las más grandes de su tipo. En julio de 2025, Google llevó a los tribunales a los operadores de Badbox 2.0, la botnet de dispositivos Android TV secuestrados cuyos componentes se solapan con Popa. En cada ocasión, las redes resultaron ser tercas.

Qué deben hacer los consumidores

La señal de advertencia más clara es una aplicación que te ofrezca pagar por tu "ancho de banda no utilizado" o por "compartir tu internet". Esa es una de las formas principales en que crecen estas redes.

Más allá de eso:
* Cíñete a las tiendas de aplicaciones oficiales y comprueba qué permisos solicita una aplicación de VPN o proxy.
* Mantén activadas las protecciones integradas como Google Play Protect.
* Compra cajas de streaming y hardware de televisores inteligentes de fabricantes conocidos, no de marcas sin nombre.

La demanda de estas direcciones domésticas no desaparece cuando una red cae; simplemente se mueve. Para los defensores y las plataformas, la próxima señal a vigilar es si el tráfico vinculado a NetNut vuelve a aparecer bajo marcas de revendedores.

Fuente:
THN