Google e FBI derrubam botnet de proxy residencial da NetNut: o que significa para o setor

Hoje, o Grupo de Inteligência de Ameaças do Google anunciou que trabalhou com o FBI, Lumen e outros parceiros para desmantelar a rede de proxy residencial NetNut. A NetNut, também conhecida como «Popa», é um botnet que sequestrou mais de dois milhões de dispositivos de consumidores em todo o mundo. Isso acontece apenas seis meses após a desativação da rede de proxy IPIDEA pelo Google em janeiro de 2026.

A mensagem é bem clara: se sua infraestrutura de proxy funciona em dispositivos comprometidos, seu tempo está contado.

Na FlashProxy, achamos que essa repressão era muito necessária.

O que realmente aconteceu

O Google encerrou as contas e serviços em nuvem que a NetNut estava usando para comando e controle de malware. Compartilhou inteligência técnica sobre os SDKs e infraestrutura de backend da NetNut com agências de segurança e provedores de plataforma, e garantiu que o Google Play Protect agora bloqueia qualquer app que contenha código da NetNut. O resultado é que milhões de dispositivos foram desconectados da rede da NetNut.

Então, como a NetNut construiu uma rede de dois milhões de dispositivos em primeiro lugar? Distribuindo SDKs direcionados a dispositivos domésticos comuns, como smart TVs e caixas de streaming. Alguns desses dispositivos vieram pré-carregados com malware de proxy antes mesmo de sair da fábrica. Outros foram infectados depois que usuários instalaram apps que tinham o código da NetNut escondido dentro. De qualquer forma, as pessoas que possuíam esses dispositivos não tinham ideia de que suas conexões de internet residenciais estavam sendo vendidas como saídas de proxy comercial.

Para dar uma ideia da escala: em apenas uma semana em junho de 2026, o Google observou mais de 300 clusters de ameaças distintos roteando tráfego por nós de saída suspeitos da NetNut. Isso inclui grupos de cibercriminosos e operações de espionagem patrocinadas por estados usando esses IPs para cobrir seus rastros, invadir ambientes de vítimas e executar ataques de credential stuffing.

O problema do whitelabel é maior que a NetNut

A parte mais importante do relatório do Google não é apenas sobre a NetNut. É sobre a profundidade da corrupção.

O Google afirmou com alta confiança que muitas marcas populares de proxy residencial estão fazendo whitelabel do botnet NetNut. Em termos simples: elas estão revendendo acesso a uma rede de dispositivos sequestrados sob sua própria marca, e seus clientes não fazem ideia.

É assim que o underground de proxy residencial realmente funciona. Quando o próprio botnet de um provedor é degradado, seja por uma operação de segurança, bloqueio de ISP ou simplesmente dispositivos saindo de linha, ele não encerra. Ele compra capacidade de outros botnets e continua vendendo. Todos se tornam revendedores de todos. Todo o ecossistema é interconectado.

O que isso significa para empresas que compram proxies residenciais é simples: o nome da marca no seu painel pode não ter nada a ver com para onde seu tráfego realmente está indo.

Por que compradores de proxy devem se importar

Se você está usando proxies residenciais para web scraping, verificação de anúncios, pesquisa de mercado ou inteligência competitiva, aqui está por que isso importa para você diretamente.

Você pode ter exposição legal. Quando seu tráfego é roteado por dispositivos que foram inscritos sem o consentimento do proprietário, você é parte de uma cadeia que começa com acesso não autorizado a hardware de consumidor. «Eu não sabia que meu provedor estava usando smart TVs infectadas por malware» não é uma defesa legal sólida, e está ficando mais fraca conforme os reguladores prestam mais atenção neste espaço.

Sua infraestrutura é frágil. Redes baseadas em botnet são instáveis por natureza. Dependem de dispositivos permanecerem on-line, permanecerem infectados e não serem limpos. O Google apenas provou, pela segunda vez em seis meses, que pode degradar essas redes em escala. Se seu negócio depende de acesso a proxy residencial, você não quer construir sobre um botnet.

Seus IPs carregam bagagem. O relatório do Google vincula diretamente botnets de proxy residencial a grupos de espionagem, infraestrutura de DDoS e campanhas de credential stuffing. Se a rede do seu provedor se sobrepõe à deles, os endereços IP que você está usando têm esse histórico anexado. Isso significa taxas de bloqueio mais altas, mais CAPTCHAs e o risco de aparecer em bancos de dados de inteligência de ameaças ao lado de agentes de ameaça reais.

Como a FlashProxy faz as coisas de forma diferente

FlashProxy nunca operou um botnet. Nunca distribuímos SDKs projetados para inscrever silenciosamente dispositivos de consumidor em nossa rede, e isso não vai mudar.

Nossa infraestrutura de proxy residencial é construída com base em sourcing baseado em consentimento. Cada dispositivo em nossa rede participa voluntariamente, com total transparência sobre o que o software faz e como a largura de banda é usada. Isso não é linguagem de marketing. É uma decisão arquitetônica fundamental que molda como integramos parceiros do lado do supply e como estruturamos nossos acordos de SDK.

Também operamos uma infraestrutura diversificada em proxies residencial, datacenter, ISP, móvel e IPv6 em mais de 190 países. Nossos clientes não dependem de uma única rede residencial que poderia ser eliminada por uma operação de segurança, porque nossa rede não é construída em dispositivos comprometidos.

Quando o Google avisa consumidores para serem «extremamente cautelosos» com apps que oferecem pagamento por «largura de banda não utilizada» ou «compartilhamento da sua internet», eles estão descrevendo um modelo de supply do qual intencionalmente nos afastamos. Estamos construindo para durabilidade e conformidade de longo prazo, não para escala a qualquer custo.

O que vem a seguir

O Google deixou claro que isso não é uma ocorrência isolada. A desativação do IPIDEA em janeiro e a operação NetNut de hoje fazem parte de um padrão, e eles disseram que mais disrupções estão por vir. Também pediram a plataformas móveis, ISPs e empresas de tecnologia que compartilhem inteligência e tomem medidas contra infraestrutura de proxy maliciosa.

Aqui está o que esperamos ver:

Perguntas mais difíceis de compradores. Clientes de proxy empresariais começarão a perguntar de onde os IPs realmente vêm. Provedores que não conseguem demonstrar sourcing baseado em consentimento perderão negócios para aqueles que conseguem.

Consolidação de mercado. Conforme redes de botnet são degradadas, os operadores menores que estavam revendendo essa capacidade encerrarão ou se esforçarão para encontrar novas fontes. O mercado vai se consolidar em torno de provedores com infraestrutura legítima.

Mais pressão regulatória. O FBI co-liderou esta operação. Isso mostra que botnets de proxy estão sendo tratados como um problema de infraestrutura criminosa, não apenas um incômodo de segurança. A regulação virá.

Eficácia declinante de proxies de botnet. Bancos de dados de reputação de IP já estão sinalizando nós de saída de proxy residencial. Conforme mais inteligência é compartilhada, proxies originários de botnet verão taxas de bloqueio mais altas, fingerprinting mais pesado e menos valor para quem os está usando.

Como avaliar seu provedor de proxy depois de hoje

Se essa notícia faz você querer dar uma olhada mais atenta em quem você está comprando proxies, aqui estão as perguntas que vale a pena fazer:

Como o provedor fornece seus IPs residenciais? Se você receber respostas vagas sobre «redes peer-to-peer» ou «comunidades de compartilhamento de largura de banda» sem documentação real de consentimento informado, isso deve preocupá-lo.

Eles conseguem provar que seus participantes do lado do supply optaram por participar de forma consciente? Consentimento real significa mais do que uma cláusula enterrada nos termos de serviço de um app. Significa que o usuário entende que está compartilhando seu endereço IP e largura de banda com uma rede de proxy comercial.

Eles operam sua própria infraestrutura ou estão revendendo? O relatório do Google deixa claro que whitelabel está em todos os lugares. Se seu provedor não consegue dizer a você exatamente para onde seu tráfego está sendo roteado, há uma boa chance de que ele também não saiba.

Como eles estão respondendo à notícia de hoje? Silêncio diz muito. Provedores com infraestrutura limpa não têm razão para evitar essa conversa.

Ficamos felizes em responder todas essas perguntas para quem estiver avaliando a FlashProxy. Quando sua infraestrutura é construída da forma certa, transparência não é um risco.