Uma operação conjunta entre o FBI e o Google desarticulou uma enorme rede de proxies residenciais que usava smart TVs, TV boxes Android e aplicativos não oficiais para esconder atividades criminosas na internet.
O caso envolve a rede conhecida como NetNut, também rastreada por pesquisadores como botnet Popa. Segundo o Google Threat Intelligence Group, mais de 2 milhões de dispositivos ao redor do mundo foram cooptados para rotear tráfego pela conexão residencial de usuários comuns.
Na prática, aparelhos aparentemente inofensivos, como smart TVs, boxes de streaming e apps alternativos, passaram a funcionar como pontos de saída de tráfego. Isso permitia que criminosos usassem endereços IP residenciais para dificultar bloqueios, burlar sistemas antifraude e mascarar ataques.
Como a botnet funcionava
A rede dependia de um SDK malicioso inserido em dispositivos Android de baixo custo e em aplicativos não oficiais, incluindo apps como o SmartTube. Depois que o usuário instalava ou conectava o dispositivo, o aparelho podia ser usado como proxy sem uma explicação clara ou consentimento real.
Esse tipo de infraestrutura é especialmente perigoso porque o tráfego malicioso parece vir de uma casa comum, não de um servidor suspeito. Para sistemas de segurança, isso torna muito mais difícil separar uma conexão legítima de uma ação criminosa.
Para que a rede era usada
De acordo com o Google, apenas em uma semana de junho de 2026, pelo menos 316 grupos distintos de ameaça usaram a infraestrutura da NetNut para atividades como:
- Password spraying, quando criminosos testam senhas comuns em muitas contas;
- Credential stuffing, usando vazamentos de login e senha em massa;
- Fraude publicitária, simulando tráfego e interações falsas;
- Coleta de dados sensíveis, por meio de raspagem automatizada.
O diferencial: aparência de serviço comercial
O caso chama atenção porque a NetNut não operava exatamente como uma botnet tradicional escondida apenas em fóruns clandestinos. A estrutura tinha características de um serviço comercial de proxy residencial.
Reportagens do jornalista de cibersegurança Brian Krebs associaram a rede à empresa israelense Alarum Technologies Ltd., listada na Nasdaq. Pesquisadores de empresas como Qurium e Synthient também apontaram conexões entre executivos da Alarum e desenvolvedores ligados ao SDK Popa.
A Alarum já descreveu sua plataforma como um serviço de compartilhamento consensual de banda. No entanto, análises independentes indicaram que os usuários não eram informados de maneira clara nem recebiam uma solicitação de consentimento significativa antes de seus dispositivos serem usados na rede.
A resposta das autoridades
Após a apreensão de domínios ligados à NetNut, a Alarum afirmou que leva o caso a sério e que cooperará com as autoridades para investigar qualquer uso indevido de sua infraestrutura.
O Google, por sua vez, evitou comentar diretamente as supostas ligações corporativas, mas detalhou o funcionamento técnico da rede. Segundo os pesquisadores, a NetNut também usava um modelo de revenda, permitindo que outras empresas reembalassem e vendessem acesso à mesma infraestrutura.
A operação resultou na apreensão de centenas de domínios, no bloqueio de contas usadas para comando e controle e em atualizações do Google Play Protect para identificar aplicativos afetados. Apps que continham o SDK comprometido também foram removidos ou desativados.
Por que isso importa
O impacto vai além de uma única rede. A ação mostra uma mudança importante na estratégia de combate ao cibercrime: em vez de mirar apenas os criminosos que usam proxies residenciais, as autoridades e empresas de segurança estão atacando a infraestrutura que permite esse tipo de abuso.
Em janeiro de 2026, uma operação semelhante já havia atingido a rede de proxies IPIDEA. Agora, com a queda parcial da NetNut, fica claro que esse mercado está entrando no radar pesado de investigadores e pesquisadores de segurança.
O alerta para usuários
O caso reforça um ponto simples, mas crítico: dispositivos baratos conectados à internet podem virar parte de uma operação criminosa sem que o usuário perceba.
Smart TVs, TV boxes Android e aplicativos fora das lojas oficiais precisam ser tratados com cuidado. Sempre que possível, o ideal é manter o sistema atualizado, evitar apps de origem duvidosa, revisar permissões e desconfiar de dispositivos muito baratos que prometem recursos demais sem transparência.
No fim das contas, a sua TV pode parecer parada na sala, mas ainda assim estar trabalhando para alguém do outro lado do mundo.
