SecOps & Botnets : Google et le FBI démantèlent NetNut, un réseau de 2 millions de proxys résidentiels malveillants!!

Salut à tous les ingénieurs système, architectes cloud et passionnés d'infrastructure IA !

C'est un coup de filet majeur dans l'univers de la lutte contre les botnets et l'exploitation d'infrastructures fantômes. Ce 6 juillet 2026, Google a révélé avoir mené une contre-offensive d'envergure, en coordination avec le FBI, pour neutraliser NetNut, l'un des plus grands réseaux de proxys résidentiels malveillants de la cybersphère. 

Ce réseau avait réussi à compromettre plus de deux millions d'appareils Android (Smart TV, boîtiers de streaming non officiels) pour dissimuler des cyberattaques de grande échelle.

Fiche Technique : L'infrastructure du botnet NetNut

Paramètre d'Infrastructure	Indicateurs & Composants Clés
Appareils compromis	> 2 000 000 de TV connectées, boîtiers de streaming et terminaux Android.
Vecteurs d'infection	Malware Badbox 2.0 (origine chinoise) et botnet Popa / Vo1d.
Volume de routage quotidien	Entre 1,5 et 2,5 millions d'adresses IP distinctes exploitées par jour.
Groupes criminels actifs	316 groupes identifiés en une seule semaine par le Google Threat Intelligence Group.
Acteurs du démantèlement	Google (GTIG), FBI, Black Lotus Labs (Lumen), Shadowserver.
Statut de l'infrastructure	Démantelée en juin 2026 (forte dégradation du réseau résiduel).

L'enjeu technique : Le détournement d'IP résidentielles (Proxy-as-a-Service)

Pour les cybercriminels, les adresses IP résidentielles (celles de nos connexions internet domestiques) sont de l'or en barre. Contrairement aux IP des datacenters (AWS, OVH, etc.), les IP résidentielles possèdent un excellent score de réputation auprès des systèmes de sécurité et des pare-feux applicatifs (WAF).

NetNut fonctionnait comme un fournisseur de services en "marque blanche". Les opérateurs du botnet infectaient des boîtiers Android via des applications modifiées truffées de malwares (comme Badbox 2.0). Une fois le nœud installé à l'insu de l'utilisateur, NetNut louait cette bande passante et l'adresse IP à d'autres gangs. Ces derniers y faisaient transiter leur trafic pour mener des campagnes de vol de mots de passe, d'espionnage ou de fraude publicitaire tout en restant totalement anonymes.

Note d'infrastructure : L'investigation a mis en lumière des liens étroits entre le botnet Popa (faisant partie du réseau Vo1d) et NetNut, une filiale de la société israélienne Alarum Technologies. Alors qu'Alarum se défend en affirmant que son modèle repose sur un partage de bande passante consenti par les utilisateurs, des entreprises de sécurité comme Spur soulignent que n'importe quel acteur malveillant pouvait acheter ces accès sans réelle vérification d'identité.

La contre-attaque : Neutralisation au niveau de l'OS et de l'infra

Pour terrasser une infrastructure aussi résiliente, Google et ses alliés ont déployé une stratégie de neutralisation multi-couches :

1. Révocation des services Cloud : Google a immédiatement coupé l'ensemble des comptes et services Google liés à l'infrastructure de contrôle de NetNut.

2. Sinkholing et blocage réseau : En partageant les indicateurs de compromission (IoC) avec Lumen et la fondation Shadowserver, la coalition a pu isoler les serveurs de commandement (C2) et couper les flux de trafic de transit.

3. Remédiation Edge (Play Protect) : Google a mis à jour son système de sécurité Android Play Protect. Ce dernier est désormais capable de détecter et de désactiver de force, à distance, les applications Android locales infectées qui servaient de relais à NetNut.

Cette opération intervient quelques mois seulement après la chute d'Ipidea, un autre géant du proxy résidentiel chinois qui contrôlait pas moins de 9 millions d'appareils Android.

Conclusion

Pour notre communauté technique, l'affaire NetNut rappelle qu'il devient indispensable de repenser nos règles de filtrage basées sur la réputation des adresses IP. L'essor du Fraud-as-a-Service et des botnets IoT résidentiels signifie qu'une requête légitime en apparence (provenant d'un bloc IP d'un fournisseur d'accès grand public) peut très bien être le fait d'un serveur C2 pilotant une Smart TV compromise. La sécurité moderne doit s'appuyer sur l'analyse comportementale (UEBA) et le Zero Trust, plutôt que sur la simple confiance accordée à une IP géographique.

Pensez-vous que la multiplication de ces démantèlements par Google et le FBI va suffire à freiner le marché des proxys résidentiels malveillants, ou l'omniprésence de boîtiers Android low-cost non officiels dans nos foyers rend-elle la prolifération de ces botnets inévitable ? On en discute en commentaire !