Google ha anunciado una operación coordinada con el FBI, Lumen y otros actores para desarticular parte de la infraestructura de NetNut, una de las mayores redes de proxies residenciales del mundo. También conocida como Popa, esta plataforma habría utilizado al menos dos millones de dispositivos repartidos por numerosos países para enrutar tráfico y ocultar la actividad de ciberdelincuentes y grupos de espionaje.
La actuación continúa la ofensiva iniciada por Google a comienzos de 2026 contra IPIDEA, otra red de proxies residenciales vinculada a actividades maliciosas. En esta ocasión, la compañía ha deshabilitado cuentas de Google y servicios asociados que NetNut utilizaba como infraestructura de mando y control.
También ha compartido información técnica sobre sus kits de desarrollo de software y servidores con proveedores tecnológicos, cuerpos policiales y empresas de investigación.
Millones de dispositivos convertidos en nodos de salida
Las redes de proxies residenciales permiten que sus clientes envíen tráfico a través de direcciones IP asignadas por proveedores de internet a hogares particulares.
Desde el punto de vista del servicio que recibe la conexión, la actividad parece proceder del domicilio de un usuario normal y no de una infraestructura de alojamiento, una VPN comercial o un servidor utilizado habitualmente por atacantes.
Esta característica convierte a estas redes en una herramienta valiosa para ocultar el origen de ataques, realizar intentos de acceso masivo, automatizar fraudes, eludir bloqueos geográficos o ejecutar campañas de robo de credenciales.
Google Threat Intelligence Group estima que NetNut controlaba al menos dos millones de dispositivos. Determinar el tamaño exacto resulta complicado porque las redes cambian constantemente, comparten capacidad y revenden el acceso a otros proveedores.
En muchos casos, los propietarios de los equipos desconocen que su dirección IP forma parte de una red de proxies.
Televisores y dispositivos de transmisión comprometidos
NetNut habría ampliado su red mediante kits de desarrollo integrados en aplicaciones y dispositivos domésticos, entre ellos televisores inteligentes y reproductores de contenido en streaming.
Algunas aplicaciones ofrecen dinero a los usuarios a cambio de compartir su “ancho de banda no utilizado”. Sin embargo, detrás de esa propuesta puede ocultarse un sistema que transforma el equipo en un nodo de salida para tráfico de terceros.
En otros casos, el código puede venir preinstalado en dispositivos de baja calidad o incorporarse a aplicaciones descargadas sin que el usuario comprenda realmente sus funciones.
Google también ha identificado componentes de NetNut asociados a grandes botnets, entre ellas Badbox 2.0. Este tipo de infraestructura aprovecha dispositivos conectados para crear redes distribuidas que pueden ser utilizadas con diferentes fines maliciosos.
Más de 300 grupos de amenazas en una sola semana
Durante una única semana de junio de 2026, Google observó 316 grupos de actividad sospechosa utilizando posibles nodos de salida de NetNut.
Entre ellos se encontraban tanto organizaciones de ciberdelincuencia como actores vinculados al espionaje.
Estos grupos pueden utilizar la red para acceder a entornos comprometidos, comunicarse con sus propias infraestructuras o realizar ataques de pulverización de contraseñas. Esta técnica consiste en probar unas pocas claves habituales contra un gran número de cuentas para evitar bloqueos automáticos.
El uso de direcciones residenciales dificulta la detección. Una empresa puede considerar legítima una conexión porque procede de un proveedor doméstico conocido, aunque detrás se encuentre un atacante situado en otro país.
La infraestructura también ha sido relacionada con variantes de Mirai, una familia de malware utilizada para controlar dispositivos conectados y ejecutar ataques distribuidos de denegación de servicio.
