Quando sua smart TV serve secretamente de disfarce para criminosos

O Google desativou a rede de proxies NetNut, também conhecida como Popa, em colaboração com o FBI, a operadora de rede Lumen e outros parceiros. O que torna este caso incomum é o fato de afetar residências comuns. Uma grande parte dos dispositivos comprometidos são smart TVs e dispositivos de streaming nas casas das pessoas. De acordo com uma estimativa do Google Threat Intelligence Group, a NetNut incluía pelo menos dois milhões de dispositivos em todo o mundo.

O que uma rede de proxy tem a ver com a sua TV

Uma rede de proxy residencial comercializa a capacidade de rotear tráfego por meio dos endereços IP de conexões domésticas comuns à internet. Criminosos utilizam isso para ocultar sua origem por trás de um IP residencial discreto. Para que isso funcione, um trecho de código precisa ser executado no maior número possível de dispositivos domésticos, transformando-os em nós de saída. Esse código acaba chegando a dispositivos encontrados em muitos lares por meio dos chamados SDKs, especialmente smart TVs e dispositivos de streaming, conforme o site de notícias de segurança “ ” KrebsOnSecurity em sua própria pesquisa. O malware chega a um dispositivo de duas maneiras: ou vem pré-instalado antes da compra, ou os usuários baixam, sem saber, um aplicativo com código de proxy oculto.

Por que isso é perigoso para as pessoas afetadas

Se o seu próprio dispositivo se tornar um nó de saída, o tráfego de outras pessoas passa pela sua conexão doméstica. Seu próprio endereço IP pode, então, ser usado como ponto de partida para ataques, tentativas de quebra de senha ou fraudes. Para as pessoas afetadas, isso significa que seu próprio tráfego legítimo pode ser sinalizado como suspeito ou bloqueado por um provedor. Os invasores também podem usar o nó sequestrado para acessar outros dispositivos na mesma rede doméstica. Em uma única semana de junho de 2026, o Google contabilizou 316 grupos de invasores diferentes utilizando nós do NetNut, incluindo cibercriminosos e agentes de espionagem. Empresas de segurança como Synthient, Spur e Nokia Deepfield também documentaram que o NetNut foi utilizado para infectar dispositivos com variantes da botnet DDoS Mirai.

O que o Google fez

O Google bloqueou as contas e os serviços que o NetNut utilizava para controlar seu malware e compartilhou detalhes técnicos sobre os SDKs e a infraestrutura com autoridades e empresas de segurança. O Google Play Protect, o sistema de proteção integrado d Android, agora alerta automaticamente os usuários sobre aplicativos que contenham código do NetNut e os desativa. De acordo com o Google, isso reduziu o número de dispositivos disponíveis em milhões. No entanto, essa não é uma solução autossustentável. O NetNut opera um programa de revenda que permite que outros provedores revendam a mesma botnet sob seus próprios nomes. O Google espera que as operadoras comprem capacidade de concorrentes assim que suas próprias redes comecem a enfraquecer.

Como proteger seus dispositivos

Tenha cuidado com aplicativos que prometem dinheiro em troca do compartilhamento de largura de banda ociosa. É exatamente assim que redes como essa crescem. O Google recomenda usar apenas lojas oficiais de aplicativos, verificar as permissões de aplicativos de VPN e proxy de terceiros e manter o Play Protect ativado. Ao comprar dispositivos de streaming ou decodificadores, opte por fabricantes de confiança. É possível verificar diretamente com o Google se um dispositivo Android possui certificação do Play Protect. Para TVs, o site Android TV lista os parceiros certificados.