Google, ev cihazlarını diğer insanların trafiği için kiralık aktarıcılara dönüştüren en büyük ağlardan biri olan NetNut'u önemli ölçüde bozdu.
Google'ın Tehdit İstihbarat Grubu (GTIG), FBI, Lumen ve diğerleriyle birlikte çalışarak bu hafta ağın kullanılabilir cihaz havuzunu milyonlarca azalttığını söyledi.
Google, Popa olarak da takip edilen NetNut'u, akıllı TV'ler ve yayın kutuları da dahil olmak üzere dünya çapındaki ev cihazlarına yayılmış bir ağ olarak tanımlıyor ve GTIG, ağın en az 2 milyon cihazı barındırdığını tahmin ediyor.
Bu cihazlardan biri evinizdeyse yabancılar internet bağlantınız üzerinden kendi trafiklerini yönlendirebilirler ve bununla ne yaparlarsa yapsınlar adresiniz suçlanır.
Sistem Güvenliği
Konut proxy ağı, gerçek ev internet adreslerine erişim satar. Saldırganlar, trafiğini bağlantınız üzerinden yönlendirmek için para öder; böylece trafik, güvenlik araçlarının engelleme eğiliminde olduğu veri merkezi trafiği gibi değil, sıradan evde gezinme gibi görünür.
Teknik Analiz
Bu havuzu oluşturmak için operatörlerin kodlarının ev cihazlarında çalışması gerekiyor. Bazı cihazlar, ucuz marka dışı donanıma önceden yüklenmiş olarak gönderilir; diğerleri onu gizleyen ücretsiz bir uygulama yüklediğinde bunu alır. Cihaz çalışmaya başladıktan sonra bir "çıkış düğümü", yani diğer insanların trafiğinin aktığı bir kapı haline gelir.
Google, bir çıkış düğümünün dışarıdaki trafiği ev ağının içine taşıdığını ve saldırganlara ağ üzerindeki diğer cihazlara erişmeleri için bir dayanak sağladığını söylüyor. Bu ev aletlerinden bazıları Mirai ve Badbox 2.0 gibi büyük saldırı botnet'lerine de çekilmiştir.
Uzmanların Görüşleri
Haziran ayının tek bir haftasında GTIG, gerçek konumlarını gizlemek ve şifre tahmin saldırıları gerçekleştirmek için siber suçlular ve casusluk grupları da dahil olmak üzere şüpheli NetNut çıkış düğümlerini kullanan 316 farklı tehdit kümesini saydı.
Çoğu proxy botnet'in aksine NetNut, halka açık bir şirkete kadar uzanır. Haziran ayında,Qurium, Synthient, Nokia Deepfield ve Spur'daki araştırmacılar Popa'yı NetNut'a bağladılar.
Nasıl Önlem Alınmalı?
NetNut, halka açık İsrail şirketi Alarum Technologies'in (NASDAQ: ALAR) sahibi olduğu bir proxy sağlayıcısıdır. Kontrollü bir testte Synthient, NetNut'un ticari ağ geçidine gönderdiği trafiğin Popa'ya kaydettirdiği bir cihaz aracılığıyla geldiğini söyledi.
Synthient bunu NetNut'un bildiğinin veya amaçladığının kanıtı olarak değil, trafik yolunun kanıtı olarak çerçeveledi. Google'ın kendi istihbaratı da aynı doğrultuda: NetNut ve Popa'yı aynı ağ olarak ele alıyor ve kamuya açık raporlamanın, NetNut'un kendi botnet'ini nasıl oluşturduğuna ilişkin görüşüyle örtüştüğünü söylüyor. Hacker News, yayınlandıklarında araştırmacıların bulgularını ele aldı.
Alarum "botnet" etiketini reddediyor. Araştırmayı "doğrulanmış gerçekler yerine açıkça yanlış iddialar ve kusurlu çıkarımlar" olarak adlandırıyor ve yazılımının, üzerinde çalıştığı cihazlardan taviz vermeyen, izinli bant genişliği paylaşımına yönelik olduğunu söylüyor.
Araştırmacıların testleri bu savunmayı karmaşık hale getiriyor: Synthient, incelediği 20'den fazla uygulamanın hiçbirinde aslında kullanıcılara izin istemi göstermediğini bildirdi.
Önemli Gelişmeler
Neden Tek Bir Yayından Kaldırma Yeterli Değil?
NetNut'u kesmek tasarım gereği karmaşıktır. NetNut, diğer şirketlerin ağını kendi marka isimleri altında satmasına olanak tanıyan bir bayi programı yürütmektedir. Google, birçok popüler, görünüşte ayrı proxy markasının gerçekten aynı NetNut havuzunu yeniden sattığı konusunda yüksek güvene sahip olduğunu söylüyor.
Yani bağımsız görünen ama aslında öyle olmayan birçok markanın tek bir yayından kaldırılması, dalga dalga yayılıyor.
Detaylar ve Etkileri
Google'ın bu bozulmayı öldürme değil de adlandırmasının nedeni de budur. Benzer bir IPIDEA ağına karşı daha önceki eyleminin, bu ağların dayanıklı görünebileceğini gösterdiğini söylüyor: operatörler rakiplerinden kapasite satın almaya başlıyor, aslında kendileri de satıcı haline geliyor. Google, gerçek ve kalıcı hasarın aynı anda birden fazla bağlı sağlayıcının peşine düşmek anlamına geldiğini söylüyor.
Gelecekte Ne Bekleniyor?
Ocak ayında Google ve iş ortakları, zirvedeyken türünün en büyüklerinden biri olan Çin merkezli bir ağ olan IPIDEA'yı kesintiye uğrattı. Temmuz 2025'te Google, bileşenleri Popa ile örtüşen, ele geçirilen Android TV cihazlarının botnet'i olan Badbox 2.0 operatörlerini mahkemeye verdi. Her seferinde ağların inatçı olduğu ortaya çıktı.
Tüketiciler Ne Yapmalı?
Sonuç ve Değerlendirme
En açık uyarı işareti, "kullanılmayan bant genişliğiniz" veya "internetinizi paylaşmanız" karşılığında size ödeme yapmayı teklif eden bir uygulamadır. Bu ağların büyümesinin ana yollarından biri budur.
Resmi uygulama mağazalarına bağlı kalın ve bir VPN veya proxy uygulamasının hangi izinleri istediğini kontrol edin.
Google Play Koruma gibi yerleşik korumaları açık tutun.
İsimsiz markalardan değil, bilinen üreticilerden yayın kutuları ve akıllı TV donanımları satın alın.
Bir ağ çöktüğünde bu ev adreslerine olan talep ortadan kalkmaz; sadece hareket ediyor. Savunmacılar ve platformlar için, İzlenecek bir sonraki sinyal, NetNut bağlantılı trafiğin satıcı markaları altında yeniden ortaya çıkıp çıkmadığıdır.
Alarum o zamandan beri yayından kaldırma işlemine kayıtlara göre yanıt verdi. Alarum'un kurumsal hukuk müşaviri Omer Weiss, şirketin ve NetNut'un, 2 Temmuz 2026'da FBI'ın bazı alan adlarına el koyduğundan haberdar edildiğini söylüyor. Weiss, Alarum'un "bu konuyu ciddiye aldığını ve altyapısının kötüye kullanımının ayrıntılı bir şekilde soruşturulmasını ve sorumluların hesap vermesini sağlamak için kolluk kuvvetleriyle tam işbirliği yapacağını" söylüyor.
