Krebs：FBI 查封 NetNut 住宅代理平台与 Popa 僵尸网络（涉 200 万台设备）
📖 原文翻译与解读。原文：FBI Seizes NetNut Proxy Platform, Popa Botnet（Krebs on Security，2026-07-02）
一、查封行动
FBI 称其联合行业伙伴查封了与 NetNut 相关的数百个域名——NetNut 是由纳斯达克上市公司 Alarum Technologies（ALAR）运营的庞大住宅代理服务。行动发生在 KrebsOnSecurity 披露多家安全公司将 NetNut 与 Popa 僵尸网络关联约两周后；Popa 是一批至少 200 万台设备被恶意软件控制、受害者知情同意极少的集合。NetNut 主页被替换为 FBI 与 IRS 刑事调查部门的查封通告，行动感谢 Google、Lumen、Shadowserver 等伙伴。
二、Popa 如何运作
2026 年 6 月 19 日，三家安全公司同时发布结论：NetNut 是一个住宅代理网络， populates 名为 Popa 的僵尸网络，并向常见于家庭的设备（智能电视、电视盒子）分发软件，把这些系统变成常驻住宅代理节点出租给他人，主要用于转发滥用与侵入流量——如大规模内容抓取、广告欺诈与账户接管。Google 威胁情报组（GTIG）指出，单在 2026 年 6 月某一周，其观测到 316 个不同威胁集群使用疑似 NetNut 出口节点，含网络犯罪与间谍组织；bad actor 可借 NetNut 掩盖来源 IP、实施密码喷射，且当消费设备成为出口节点时，可访问同家庭网络下的其他私有设备。
三、影响与生态
代理追踪服务 Synthient 创始人 Benjamin Brundage 称域名查封已同时打断 Popa 僵尸网络与其上的 NetNut 代理网络；NetNut 的衰亡对网犯罪业是重大打击——其在最大竞品 IPIDEA 被 Google 年初查封后人气大涨，且在转售商中普及度与 IPIDEA 相当。Google 评估本次行动使 NetNut 代理网络与业务运营「显著降级，可用设备池减少数百万」；但警告代理网络可通过转售其他服务重建（IPIDEA 即如此）。Spur 报告显示 LG webOS 上 42％ 的可下载应用、三星 Tizen 上超四分之一应用含将其电视变为常驻住宅代理节点的 SDK。
四、防护启示
对家庭用户：购买电视盒子优先选知名品牌并谨慎安装应用，避免需安装非官方 Android 系统的设备；注意智能电视可能因装 app 被纳入住宅代理网络。对企业：意识到住宅代理被普遍用于账号接管与密码喷射，应在登录与交易环节叠加设备指纹、行为风控与防钓鱼 MFA，并对来自住宅代理出口的异常登录做限速/挑战；对供应链中被控 IoT 设备形成的 DDoS 风险保持监测。
参考来源
了解更多行业资讯，请访问 行业资讯首页 或致电 021-69753778 获取安全咨询服务。
相关文章
—— ztpop.net 编辑团队 译