当你的智能电视暗中成为犯罪分子的掩护时

谷歌与联邦调查局（FBI）、网络运营商Lumen及其他合作伙伴共同关闭了NetNut代理网络（又名Popa）。此案的特殊之处在于它波及了普通家庭。被入侵的设备中，很大一部分是人们家中的智能电视和流媒体机顶盒。根据谷歌威胁情报组的估计，NetNut在全球范围内涉及至少200万台设备。

代理网络与您的电视有何关联

住宅代理网络通过普通家庭互联网连接的IP地址提供流量中转服务。犯罪分子利用这一机制，将自身来源隐藏在不起眼的住宅IP地址背后。 要使这种手段奏效，就必须让一段代码在尽可能多的家庭设备上运行，从而将这些设备转变为出口节点。正如KrebsOnSecurity 在自身研究中记录的那样，该恶意代码通过所谓的 SDK 植入到许多家庭中的设备中，尤其是智能电视和流媒体盒。该恶意软件通过两种方式进入设备：要么在购买前就被预装，要么用户在不知情的情况下下载了包含隐藏代理代码的应用程序。

这对受影响者为何危险

如果您的设备成为出口节点，他人的流量就会通过您的家庭网络连接传输。 您的 IP 地址随后可能被用作发起攻击、密码破解或欺诈活动的跳板。对于受影响的用户而言，这意味着他们自身的合法流量可能会被标记为可疑流量，或被网络服务提供商拦截。攻击者还可以利用被劫持的节点访问同一家庭网络中的其他设备。 在 2026 年 6 月的某一周内，谷歌统计到有 316 个不同的攻击者团体（包括网络犯罪分子和间谍活动者）使用了 NetNut 节点。Synthient、Spur 和诺基亚 Deepfield 等安全公司也记录到，NetNut 被用于向设备植入 Mirai DDoS 僵尸网络的变种。

谷歌采取的措施

谷歌封禁了 NetNut 用于控制其恶意软件的账户和服务，并将有关 SDK 和基础设施的技术细节分享给了相关机构及安全公司。Android 的内置防护系统 Google Play Protect 现可自动向用户发出警告，并禁用含有 NetNut 代码的应用程序。 据谷歌称，此举使可利用的设备池减少了数百万台。然而，这并非一种可持续的解决方案。NetNut 运营着一个分销商计划，允许其他提供商以自己的名义转售同一僵尸网络。谷歌预计，一旦运营商自身的网络开始衰弱，他们就会向竞争对手购买带宽。

如何保护您的设备

对那些承诺通过共享闲置带宽来赚钱的应用程序要保持警惕。这正是此类网络扩张的途径。 谷歌建议仅使用官方应用商店，检查第三方VPN和代理应用的权限，并保持Play Protect功能开启。购买流媒体盒或机顶盒时，应选择信誉良好的制造商。Android 设备是否通过Play Protect认证，可直接向谷歌查询。对于电视机，Android TV网站列出了经过认证的合作伙伴。