LONDON (IT BOLTWISE) – Google und das FBI haben das NetNut-Residential-Proxy-Netzwerk mit rund zwei Millionen infizierten Android-Geräten abgeschaltet. Im Zentrum stand ein Proxy-Missbrauch über eingebettete SDKs in IPTV- und Streaming-Apps. Parallel wird mit CVE-2026-46242 eine Kernel-Schwachstelle bekannt, die unter bestimmten Bedingungen Root-Zugriff ermöglicht. Für Unternehmen und Nutzer wird damit einmal mehr klar, wie eng App-Supply-Chain, Patch-Tempo und technische Abwehrmechanismen mittlerweile zusammenhängen.
Google und das FBI haben eine internationale Operation veröffentlicht, die ein Android-Botnetz mit einem Umfang von etwa zwei Millionen infizierten Endgeräten lahmlegt hat. Betroffen waren nicht nur Smartphones, sondern auch Smart-TVs und Streaming-Boxen; im Kern ging es um das sogenannte NetNut-Residential-Proxy-Netzwerk, auch als Popa-Botnet bezeichnet. Die Abschaltung traf zentrale Kontrollkonten, während Ermittler hunderte Domains beschlagnahmten, darunter netnut.com. Als weitere Akteure werden Lumen’s Black Lotus Labs und Shadowserver genannt. Für die Praxis ist die Botschaft eindeutig: „Residential Proxies“ bleiben der bevorzugte Deckmantel, weil sie Datenverkehr aus vermeintlich legitimen Haushalten liefern.
Technisch bemerkenswert ist, wie der Missbrauch in den Apps „unsichtbar“ gemacht wurde: Die Angreifer integrierten eine Schadsoftware-Bibliothek (SDK) in IPTV- und Streaming-Anwendungen, ohne dass Nutzer einen relevanten Hinweis erhalten. Nach der Installation wurden die Geräte als Residential Proxies missbraucht, also als Quellen für IP-Adressen und Rechenleistung. Dadurch wird Angriffsverkehr schwerer zu klassifizieren, weil er nicht aus Rechenzentren kommt, sondern wie normaler Konsumenten-Traffic wirkt. In einer Woche erkannten die Forscher 316 unterschiedliche Bedrohungscluster, die das Netzwerk ausspielten. Täglich kamen laut den Angaben zwischen 1,5 und 2,5 Millionen verschiedene IP-Adressen für den Traffic zusammen.
Die Reaktion von Google folgte schnell und adressierte die App-Ebene: Play Protect wurde aktualisiert, um die schädliche SDK zu erkennen, und betroffene Apps flogen aus dem Store. Gleichzeitig bleibt die Lage im Graubereich der Attribution komplex: Alarum Technologies, die in Verbindung mit NetNut gebracht wird, bestreitet, es handle sich um ein Botnetz. Das zeigt eine typische Spannung zwischen Sicherheits- und Rechtslogik, die sich in solchen Fällen oft erst in Gerichtsakten oder weiterem Analysematerial auflöst. Vergleichend betrachtet verfolgen andere Plattformen ein ähnliches Grundprinzip, aber mit anderer Durchsetzungstiefe: iOS-Ökosysteme setzen stärker auf App-Distribution und Signing-Kontrollen, während Android die Vielfalt der Geräteflotten über mehrere Hersteller hinweg unterstützt.
In den Marktfolgen wird vor allem sichtbar, wie sehr App-Supply-Chain-Angriffe „Skalierung“ bedeuten: Einmal eingebettete Komponenten verbreiten sich mit dem App-Installationspfad. Für Unternehmen heißt das, dass Security nicht nur auf Endpoint-Einstellungen reduziert werden darf, sondern auch auf Prozesse rund um App-Entdeckung, MDM-Richtlinien und Reverse-Engineering von Drittanbieter-SDKs. Das gilt besonders, wenn Geräte auch als Medienplayer oder TV-Begleiter eingesetzt werden, weil Nutzer dort oft weniger Sicherheitsaufmerksamkeit investieren. Ergänzend taucht parallel eine weitere Plattformgefahr auf: eine schwerwiegende Sicherheitslücke im Linux-Kernel, die direkt Android betrifft. Genauer: CVE-2026-46242 im epoll-Subsystem, eine Use-After-Free-Race-Condition, die unter bestimmten Bedingungen Root-Rechte ermöglicht.
Die Kernel-Lücke wird mit konkreten technischen Rahmenbedingungen beschrieben: Betroffen sind Linux-Kernel ab Version 6.4, also auch Android-Geräte mit Kernel 6.6 oder neuer. Als Angriffslogik nennt die Meldung einen Exploit von Jaeyoung Chung von der Seoul National University, der in 99 Prozent der Fälle Root-Zugriff gewährt – sogar aus der Chrome-Sandbox heraus. Wichtig ist die Einordnung für die Risikobewertung: Bisher gibt es laut Bericht keine Hinweise auf reale Angriffe, gleichzeitig liegt aber bereits ein Fix als Kernel-Commit a6dc643c6931 vor. Ältere Geräte wie ein Pixel 8 mit Kernel 6.1 gelten als nicht betroffen. Für die Security-Organisation ist das ein klassischer Fall von „Patch-Window“, der durch Patch-Management und Update-Zyklen entschieden wird.
Neben NetNut und CVE-2026-46242 deutet eine Reihe weiterer Indikatoren auf eine breite Bedrohungslage hin. In der ersten Juliwoche wurde laut Angaben ein Android-Sicherheitsupdate veröffentlicht, das 124 Schwachstellen schließt; darunter sei eine, die nachweislich aktiv ausgenutzt wurde. Parallel wurde von Kaspersky Schadsoftware namens Keenadu beschrieben, die entweder in der Firmware vorinstalliert oder in System-Apps versteckt sein kann. Bis Februar 2026 sollen mehr als 13.000 Geräte in Ländern wie Russland, Japan, Deutschland, Brasilien und den Niederlanden betroffen gewesen sein, inklusive der Fähigkeit zur Überwachung privater Browser-Sitzungen. Gleichzeitig steigen die Risiken im Nahbereich: NFC-Angriffe sollen zwischen Januar und April 2026 um 188 Prozent zugenommen haben, unter anderem durch „Reverse-NFC“-Tricks und gefälschte Banking-Apps.
Auch soziale Medien entwickeln sich weiter zur Angriffsfläche. Auf TikTok und Instagram kursieren dem Bericht zufolge gefälschte Google-Play-Store-Seiten, die Progressive Web Apps (PWAs) für Einzelhandels- oder Bankmarken bewerben. Das Muster ist dabei konsistent: Nutzer werden in vermeintliche „vertrauenswürdige“ Oberflächen gelotst, um anschließend in illegale Glücksspielplattformen zu wechseln. Das finanzielle Motiv wird mit einer Spanne von 50 bis 350 Euro pro angeworbenem Nutzer konkretisiert. Zusätzlich zeigt der Mix aus Proxy-Netzen, Kernel-Exploits und NFC-Tricks, dass Angreifer nicht nur einzelne Lücken ausnutzen, sondern ganze Ketten orchestrieren: Zugang über App-Mechanismen, Persistenz über kompromittierte Komponenten und monetarisierte Ziele über Zahlungs- und Social-Engineering-Pfade.
Für die Zukunft wird entscheidend, wie schnell „Security Controls“ in der Breite wirksam werden: Play Protect kann SDKs erkennen, aber der Nutzer bekommt nur dann einen messbaren Schutz, wenn die Installation tatsächlich verhindert oder die betroffene App entfernt wird. Beim Kernel gilt dasselbe für den Update-Zyklus, der bei Android stark von Hersteller- und Modellpolitik abhängt. Regulatorisch und datenschutzrechtlich verschärft sich zudem die Lage, weil Residential Proxies im Zweifel personenbezogenen oder standortbezogenen Datenverkehr in eine Angriffslogik einspannen können. Für Unternehmen bedeutet das: technische Maßnahmen wie Network-Inspection, Device-Posture-Checks und MDM-Konfigurationen sollten mit Lieferketten-Strategien für Apps und Drittanbieter-SDKs kombiniert werden. In den nächsten Quartalen ist zu erwarten, dass Angreifer vermehrt auf Komponenten setzen, die sich im Betrieb „normal“ verhalten—dagegen helfen weniger Einzelmaßnahmen als eine durchgängige, verifizierbare Sicherheitskette.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Google/FBI zerschlagen NetNut-Popa: Millionen Android-Proxies und neue Kernel-Root-Lücke" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Google/FBI zerschlagen NetNut-Popa: Millionen Android-Proxies und neue Kernel-Root-Lücke" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Google/FBI zerschlagen NetNut-Popa: Millionen Android-Proxies und neue Kernel-Root-Lücke« bei Google Deutschland suchen, bei Bing oder Google News!