Principais destaques
- Operação conjunta entre Google, FBI e Lumen Technologies enfraqueceu a infraestrutura da rede proxy NetNut.
- Smart TVs, aparelhos de streaming Android e outros dispositivos conectados foram usados sem autorização para ocultar atividades criminosas na internet.
- Google reforçou o Play Protect e alerta usuários sobre aplicativos que prometem dinheiro em troca do compartilhamento da conexão de internet.
O Google anunciou uma das maiores operações recentes contra uma infraestrutura utilizada por cibercriminosos para esconder ataques na internet.
Em parceria com o FBI e a empresa de segurança Lumen Technologies, a companhia afirmou ter desarticulado uma parte significativa da NetNut, uma rede proxy residencial que utilizava pelo menos 2 milhões de dispositivos comprometidos em diversos países para mascarar atividades ilegais.
Segundo o Google, milhões de aparelhos pertencentes a consumidores comuns foram incorporados à rede sem o conhecimento de seus proprietários. Entre eles estavam smart TVs, dispositivos de streaming baseados em Android, TV Boxes e outros equipamentos conectados à internet. Esses aparelhos eram utilizados como intermediários para que criminosos pudessem acessar sistemas de terceiros sem revelar a verdadeira origem das conexões.
A empresa afirma que a ação coordenada reduziu drasticamente a capacidade operacional da NetNut, interrompendo parte importante de sua infraestrutura e tornando muito mais difícil a continuidade das operações do grupo.
O que é uma rede proxy residencial e por que ela preocupa
Para entender a gravidade do caso, é importante compreender o funcionamento de uma rede proxy residencial. Diferentemente de servidores tradicionais, esse tipo de serviço utiliza conexões reais de residências espalhadas pelo mundo. Assim, quando um criminoso realiza uma atividade maliciosa utilizando uma dessas conexões, o acesso parece vir de um usuário comum, dificultando a identificação da origem do ataque.
Embora existam serviços de proxy utilizados para finalidades legítimas, como testes de desempenho, pesquisas de mercado ou verificação de conteúdo regional, redes construídas sobre dispositivos comprometidos representam um enorme risco para a segurança digital.
No caso da NetNut, o Google afirma que a infraestrutura era alimentada por aparelhos infectados que passavam a encaminhar tráfego de internet sem que seus donos percebessem qualquer atividade incomum. Isso permitia aos operadores vender acesso à rede para diferentes grupos criminosos.
Como consequência, uma pessoa poderia estar assistindo a um filme em sua televisão inteligente enquanto, ao mesmo tempo, seu dispositivo era utilizado silenciosamente para mascarar ataques virtuais realizados em outro país.
Como milhões de dispositivos acabaram sequestrados
A investigação aponta que existem diferentes formas de um aparelho passar a integrar esse tipo de infraestrutura.
Uma das possibilidades é a presença de softwares maliciosos instalados ainda durante a cadeia de distribuição do equipamento. Outra forma, considerada mais comum, ocorre quando o próprio usuário instala aplicativos aparentemente confiáveis que escondem componentes maliciosos.
Segundo o Google, alguns desses aplicativos incluem kits de desenvolvimento de software, conhecidos como SDKs, capazes de transformar o dispositivo em um nó da rede proxy. Como esse processo acontece em segundo plano, muitos consumidores jamais percebem que seu aparelho está sendo utilizado por terceiros.
A empresa também chama atenção para aplicativos que prometem pagamentos em dinheiro pelo compartilhamento da conexão de internet ou da chamada “largura de banda não utilizada”. Embora algumas plataformas utilizem esse modelo de forma legítima, criminosos exploram ofertas semelhantes para convencer usuários a instalar programas que passam a integrar redes clandestinas.
Por esse motivo, o Google recomenda baixar aplicativos apenas de fontes confiáveis e analisar cuidadosamente as permissões solicitadas durante a instalação.
Google bloqueia infraestrutura e reforça a proteção do Android
Como parte da operação, o Google informou que desativou diversas contas e serviços utilizados pelos operadores da NetNut para controlar os dispositivos comprometidos.
Além disso, a empresa compartilhou informações técnicas sobre os servidores utilizados pela organização, os SDKs envolvidos e toda a infraestrutura de comando e controle com autoridades policiais e parceiros do setor de tecnologia.
Outra medida importante foi a atualização do Google Play Protect, sistema de segurança presente na maioria dos dispositivos Android certificados. A ferramenta passou a identificar automaticamente aplicativos conhecidos por incorporar os componentes utilizados pela NetNut, alertando os usuários e desativando esses aplicativos quando necessário.
Segundo o Google Threat Intelligence Group, a combinação dessas medidas causou uma redução significativa no número de dispositivos disponíveis para a operação criminosa, afetando diretamente o modelo de negócios da rede.
Centenas de grupos criminosos utilizavam a mesma infraestrutura
Durante a investigação, os especialistas descobriram que o alcance da NetNut era muito maior do que se imaginava.
Em apenas uma semana de junho de 2026, o Google identificou 316 grupos distintos utilizando nós de saída associados à rede. Entre eles estavam organizações especializadas em crimes financeiros, roubo de credenciais, ataques de força bruta, espionagem digital e outras atividades ilegais.
Esses grupos utilizavam a infraestrutura para esconder sua localização real antes de acessar sistemas comprometidos, lançar ataques automatizados ou realizar campanhas de pulverização de senhas, técnica que testa uma mesma senha em milhares de contas diferentes.
Pesquisadores de empresas como Synthient e Nokia Deepfield também haviam relacionado parte dessa infraestrutura a variantes da botnet Mirai, malware conhecido por infectar dispositivos conectados e utilizá-los em ataques distribuídos de negação de serviço, conhecidos como DDoS.
Essas descobertas mostram que a mesma rede era compartilhada por diversos grupos criminosos, aumentando ainda mais seu impacto na segurança global.
Operação faz parte de uma estratégia maior do Google
A ação contra a NetNut não aconteceu de forma isolada. Em janeiro deste ano, o Google já havia anunciado uma operação semelhante contra outra grande rede proxy residencial conhecida como IPIDEA.
Segundo a empresa, esse mercado funciona de maneira altamente interligada. Quando uma infraestrutura sofre interrupções, operadores frequentemente recorrem às redes de concorrentes para manter seus serviços funcionando.
Isso significa que combater apenas um provedor não elimina completamente o problema. Por esse motivo, o Google afirma que continuará monitorando o setor e trabalhando em conjunto com autoridades policiais, pesquisadores de segurança e empresas de tecnologia para identificar novas infraestruturas utilizadas por organizações criminosas.
A expectativa é que novas operações sejam realizadas à medida que outras redes sejam identificadas.
O que os usuários podem fazer para reduzir os riscos
Embora boa parte dessas infecções aconteça de forma silenciosa, algumas medidas simples ajudam a diminuir significativamente o risco de ter um dispositivo comprometido.
Manter o sistema operacional sempre atualizado, instalar aplicativos apenas por meio da Google Play Store, verificar a reputação dos desenvolvedores, desconfiar de programas que prometem ganhos financeiros fáceis e manter o Google Play Protect ativado são algumas das recomendações feitas pelos especialistas.
Também é importante evitar instalar aplicativos distribuídos fora das lojas oficiais, principalmente em dispositivos de streaming Android e TV Boxes, onde esse tipo de prática costuma ser mais comum.
O caso da NetNut demonstra como dispositivos domésticos conectados à internet se tornaram alvos cada vez mais valiosos para cibercriminosos. Mesmo aparelhos que parecem ter funções simples, como uma smart TV ou um dispositivo de streaming, podem ser explorados para integrar operações globais de crimes virtuais quando não estão devidamente protegidos.
