När din smart-TV i hemlighet används som täckmantel för brottslingar

Google har stängt ner proxynätverket NetNut, även känt som Popa, i samarbete med FBI, nätoperatören Lumen och andra samarbetspartner. Det som gör detta fall ovanligt är att det drabbar vanliga hushåll. En stor andel av de komprometterade enheterna är smart-tv-apparater och streamingspelare i människors hem. Enligt en uppskattning från Google Threat Intelligence Groupomfattade NetNut minst två miljoner enheter världen över.

Vad ett proxynätverk har med din TV att göra

Ett proxynätverk för privatbruk säljer möjligheten att dirigera trafik via IP-adresserna till vanliga internetanslutningar i hemmen. Brottslingar använder detta för att dölja sitt ursprung bakom en oansenlig privat IP-adress. För att detta ska fungera måste en kod köras på så många enheter i hemmen som möjligt, vilket förvandlar dem till utgångsnoder. Den koden hamnar på enheter som finns i många hushåll via så kallade SDK:er, särskilt smart-TV:ar och streamingboxar, vilket KrebsOnSecurity har dokumenterat i sin egen forskning. Skadlig programvara når en enhet på ett av två sätt. Antingen är den förinstallerad redan vid köpet, eller så laddar användarna ner en app med dold proxykod utan att veta om det.

Varför detta är farligt för de drabbade

Om din egen enhet blir en utgångsnod går andras trafik via din hemanslutning. Din egen IP-adress kan då användas som utgångspunkt för attacker, lösenordsattacker eller bedrägerier. För de drabbade innebär detta att deras egen legitima trafik kan flaggas som misstänkt eller blockeras av en leverantör. Angripare kan också använda den kapade noden för att få tillgång till andra enheter i samma hemnätverk. Under en enda vecka i juni 2026 räknade Google till 316 olika angripargrupper som använde NetNut-noder, däribland cyberbrottslingar och spionaktörer. Säkerhetsföretag som Synthient, Spur och Nokia Deepfield dokumenterade också att NetNut användes för att infektera enheter med varianter av Mirai-DDoS-botnätet.

Vad Google har gjort

Google blockerade de konton och tjänster som NetNut använde för att styra sin skadliga programvara och delade tekniska detaljer om SDK:erna och infrastrukturen med myndigheter och säkerhetsföretag. Google Play Protect, Android s inbyggda skyddssystem, varnar nu automatiskt användare om appar som innehåller NetNut-kod och inaktiverar dem. Enligt Google har detta minskat den tillgängliga enhetspoolen med miljoner enheter. Detta är dock ingen självförsörjande lösning. NetNut driver ett återförsäljarprogram som låter andra leverantörer sälja samma botnät under sina egna namn. Google förväntar sig att operatörerna kommer att köpa kapacitet från konkurrenter så snart deras egna nätverk börjar försvagas.

Så här skyddar du dina enheter

Var försiktig med appar som lovar pengar för att du delar med dig av outnyttjad bandbredd. Det är precis så här nätverk som detta växer. Google rekommenderar att du endast använder officiella appbutiker, kontrollerar behörigheterna för VPN- och proxy-appar från tredje part samt håller Play Protect aktiverat. När du köper streamingboxar eller digitalboxar bör du hålla dig till välrenommerade tillverkare. Om en enhet från Android är Play Protect-certifierad kan du kontrollera direkt hos Google. För TV-apparater listar webbplatsen Android TV certifierade partners.