Google Threat Intelligence Group (GTIG), en colaboración con el FBI y varias compañías del sector de la ciberseguridad, ha logrado desmantelar NetNut, una de las mayores redes de proxies residenciales maliciosas detectadas hasta la fecha.
La operación supone un duro golpe para un ecosistema utilizado de forma habitual por ciberdelincuentes y grupos de espionaje digital. Y ojo, porque la intervención cobra todavía más relevancia por el tamaño de la infraestructura.
Los investigadores estiman que la red estaba formada por al menos dos millones de dispositivos comprometidos repartidos por todo el mundo.
Una red que utilizaba millones de dispositivos domésticos
NetNut funcionaba convirtiendo equipos de usuarios particulares en nodos de salida para ocultar la identidad real de los atacantes.
Entre los dispositivos afectados había Smart TV, reproductores multimedia, equipos Android y otros dispositivos conectados a Internet.
La infección se producía principalmente mediante aplicaciones modificadas con código malicioso y campañas vinculadas a botnets como Badbox 2.0. Estas aplicaciones incorporaban de forma oculta complementos de proxy que pasaban desapercibidos para los propietarios de los equipos.
Como consecuencia, los ciberdelincuentes podían utilizar la conexión a Internet de esos hogares para lanzar ataques sin revelar su ubicación real, dificultando enormemente las investigaciones policiales.
Más de 300 grupos criminales utilizaron esta infraestructura
Los datos recopilados por GTIG reflejan el enorme alcance de NetNut. Durante únicamente una semana de junio de 2026 se detectó que 316 grupos de amenazas diferentes utilizaron esta red.
Entre ellos figuraban tanto organizaciones dedicadas al fraude informático como actores especializados en campañas de ciberespionaje.
La infraestructura servía para ocultar direcciones IP reales, ejecutar ataques de fuerza bruta mediante técnicas de password spraying, acceder a sistemas comprometidos y desarrollar otras actividades ilícitas con un elevado grado de anonimato.
Un mercado clandestino muy interconectado
Los investigadores explican que este tipo de redes no funcionan de forma aislada. Los operadores compran y revenden constantemente capacidad entre diferentes botnets, creando un auténtico mercado negro de infraestructura digital.
Precisamente por ello, la desarticulación de NetNut tiene un efecto que va mucho más allá de una única organización. Al desaparecer una de las mayores plataformas disponibles, numerosos grupos criminales pierden acceso a millones de direcciones IP residenciales que utilizaban para esconder sus operaciones.
La actuación llega además pocos meses después del desmantelamiento de otra importante infraestructura conocida como IPIDEA, reforzando la estrategia internacional para reducir la capacidad operativa de estas redes.
Riesgos para los usuarios afectados
Uno de los aspectos más preocupantes era que muchos propietarios desconocían completamente que sus dispositivos estaban siendo utilizados por terceros.
Al actuar como nodos de salida, el tráfico malicioso parecía proceder de conexiones legítimas, lo que podía provocar bloqueos por parte de proveedores de Internet, restricciones de acceso a determinados servicios e incluso problemas derivados de investigaciones sobre actividades realizadas desde esas direcciones IP.
Además del impacto sobre la privacidad, el uso continuado de estos dispositivos podía afectar al rendimiento de la conexión doméstica y aumentar la exposición frente a nuevas amenazas.
Google y el FBI cortan la infraestructura
La operación coordinada permitió inutilizar los servicios y cuentas que la organización utilizaba como parte de su infraestructura de comando y control del malware.
Paralelamente, Google activó medidas de protección mediante Google Play Protect para identificar automáticamente las aplicaciones infectadas, deshabilitarlas cuando fue necesario y advertir a los usuarios afectados.
Acerca del autor
