Google uderza w NetNut. Wojna ze złośliwymi sieciami residential proxy dopiero się zaczyna

Przez lata cyberprzestępcy do ukrywania swojej aktywności wykorzystywali głównie serwery VPS, przejęte maszyny i klasyczne botnety. Dziś coraz częściej sięgają po coś znacznie skuteczniejszego – residential proxy, czyli sieci wykorzystujące prawdziwe domowe adresy IP.

To właśnie w taki ekosystem uderzyły wspólnie Google, FBI, Lumen oraz kilku innych partnerów, przeprowadzając jedną z największych operacji przeciwko infrastrukturze typu residential proxy. Celem działań była sieć NetNut, znana również pod nazwą Popa, która według szacunków obejmowała około dwóch milionów urządzeń na całym świecie.

Dlaczego residential proxy istnieją?

Adres IP pochodzący z domowego łącza wygląda dla większości systemów bezpieczeństwa znacznie bardziej wiarygodnie niż ruch wychodzący z centrum danych. To właśnie dlatego usługi residential proxy od lat cieszą się popularnością – nie tylko wśród firm zajmujących się analizą rynku czy automatyzacją testów, ale również w środowisku cyberprzestępczym.

Atak prowadzony z domowego adresu IP znacznie trudniej odróżnić od działań zwykłego użytkownika. Mechanizmy antyfraudowe, systemy wykrywania botów czy rozwiązania chroniące logowanie często traktują taki ruch jako mniej podejrzany, co zwiększa skuteczność kampanii phishingowych, password spray czy credential stuffing.

Google poinformowało, że w ciągu zaledwie jednego tygodnia zaobserwowało 316 różnych grup cyberprzestępczych i szpiegowskich, które wykorzystywały infrastrukturę NetNut do ukrywania swojej aktywności.

Najciekawsze jest to, że ogromna część urządzeń nie została zainfekowana klasycznym malware. W wielu przypadkach użytkownicy sami instalują aplikacje zawierające komponenty, które umożliwiają udostępnianie przepustowości internetowej. Często są to darmowe VPN-y, aplikacje do zarabiania na „nieużywanym łączu” albo programy obiecujące dodatkowe funkcje w zamian za zgodę na działanie w tle.

Problem polega na tym, że właściciel urządzenia bardzo często nie zdaje sobie sprawy, iż jego komputer, telefon czy telewizor Smart staje się elementem ogromnej sieci proxy. W efekcie ruch generowany przez cyberprzestępców przechodzi przez prywatne łącza zwykłych użytkowników.

Google odcina zaplecze operacji

W przeciwieństwie do klasycznych przejęć botnetów tym razem nie chodziło tylko o wyłączenie serwerów C2.

Google poinformowało, że zablokowało konta i usługi wykorzystywane do zarządzania infrastrukturą NetNut, udostępniło informacje techniczne organom ścigania oraz partnerom z branży bezpieczeństwa, a dodatkowo wdrożyło mechanizmy utrudniające odbudowę całej infrastruktury. W działania zaangażowane były również FBI, Lumen oraz organizacje zajmujące się analizą zagrożeń.

Według Google operacja doprowadziła do znaczącego ograniczenia liczby urządzeń dostępnych dla operatorów sieci.

Osoby śledzące wcześniejsze działania Google mogą zauważyć pewną prawidłowość. Na początku 2026 roku firma przeprowadziła podobną operację przeciwko ogromnej sieci IPIDEA, która również wykorzystywała miliony urządzeń jako węzły proxy. Tamta akcja pokazała, że wiele pozornie niezależnych usług proxy korzysta z tej samej infrastruktury i podobnych modeli biznesowych.

NetNut wydaje się kolejnym elementem znacznie większego ekosystemu, w którym różne marki sprzedają dostęp do tej samej lub bardzo podobnej puli adresów IP. Oznacza to, że likwidacja jednego operatora nie usuwa problemu.

Dlaczego to ważne dla zespołów SOC

Z perspektywy analityka bezpieczeństwa residential proxy są wyjątkowo problematyczne. Przez lata jednym z najprostszych sposobów wykrywania podejrzanej aktywności było blokowanie ruchu pochodzącego z centrów danych, anonimowych VPN-ów czy sieci TOR.

Dzisiaj coraz więcej ataków pochodzi z prawdziwych domowych adresów IP, rozsianych po całym świecie. Takie połączenia niczym się nie wyróżniają. Korzystają z legalnych operatorów internetowych, mają poprawną geolokalizację i bardzo często wyglądają jak zwykły ruch użytkowników. W praktyce oznacza to, że reputacja adresu IP przestaje być wystarczającym wskaźnikiem ryzyka.

Nie istnieje jedna sygnatura pozwalająca na rozpoznanie takiego ruchu. Coraz większego znaczenia nabiera analiza behawioralna. Warto zwracać uwagę na nagłe zmiany lokalizacji użytkownika, nietypowe godziny logowania, jednoczesne sesje z różnych krajów czy wzorce charakterystyczne dla automatycznych kampanii password spraying.

Pomocne może być również wykrywanie szybkiej rotacji adresów IP należących do różnych operatorów przy zachowaniu identycznych parametrów przeglądarki lub urządzenia. Właśnie takie korelacje coraz częściej pozwalają odróżnić prawdziwego użytkownika od ruchu przechodzącego przez sieć residential proxy.

Słowo na koniec

Operacja przeciwko NetNut pokazuje, że infrastruktura pomocnicza staje się równie ważnym celem jak same grupy cyberprzestępcze.

Zamiast ścigać pojedynczych operatorów ransomware czy phishingu, coraz częściej uderza się w usługi, z których korzystają dziesiątki lub setki różnych grup.

To strategia przypominająca działania przeciwko bulletproof hostingowi czy botnetom sprzed kilku lat. Różnica polega na tym, że dziś zamiast serwerów wykorzystywane są miliony zwykłych urządzeń należących do niczego nieświadomych użytkowników.

Akcja przeciwko NetNut to kolejny sygnał, że residential proxy stały się jednym z kluczowych elementów współczesnego ekosystemu cyberprzestępczego.

Dzięki wykorzystaniu prawdziwych domowych adresów IP atakujący skuteczniej omijają zabezpieczenia, ukrywają swoją tożsamość i utrudniają analizę incydentów. Nawet jeśli kolejne operacje organów ścigania będą osłabiały takie sieci, trudno oczekiwać, że problem zniknie całkowicie.

Dopóki istnieje możliwość monetyzowania domowych urządzeń i ich połączeń internetowych, kolejne sieci residential proxy będą powstawały szybciej, niż będziemy w stanie je wyłączać.