Forscher bringen Android-Botnetz „Popa“ mit dem Proxy-Netzwerk NetNut in Verbindung – Unternehmen weist Vorwürfe zurück

Sicherheitsforscher geben an, dass ein seit Langem bestehendes Android-Botnetz namens Popa mit NetNut verbunden sein könnte, einem von dem börsennotierten israelischen Unternehmen Alarum Technologies Ltd. betriebenen Residential-Proxy-Dienst. Die Erkenntnisse stammen aus separaten Berichten von Qurium und Synthient, die beide die mit der Malware-Kampagne verbundene Infrastruktur untersucht haben.

Den Forschern zufolge verwandelt Popa seit Jahren Streaming-Boxen von Verbrauchern in Knoten, die Internetverkehr für Aktivitäten von Anzeigenbetrug über den Missbrauch von Konten bis hin zu groß angelegtem Scraping weiterleiten. Die infizierten Geräte scheinen Teil eines größeren Malware-Ökosystems mit Bezug zu Vo1d zu sein – einer Kampagne, die auf inoffizielle Android-basierte TV-Boxen abzielt, die online unter zahlreichen Namen verkauft werden.

So funktioniert das Netzwerk

Forscher beschreiben Popa als eine Komponente, die kompromittierten Geräten dabei hilft, verschlüsselte Verbindungen aufrechtzuerhalten und über längere Zeit Befehle entgegenzunehmen. Die Malware soll sich nicht wie ein destruktives Botnetz verhalten, sondern eine dauerhafte Kommunikationsschicht bereitstellen, über die Geräte registriert und bei Bedarf Tunnel geöffnet werden können.

Qurium erklärte, mehrere mit dem Betrieb verbundene Kontroll-Domains identifiziert zu haben, darunter Domains, die im Laufe der Zeit unter verschiedenen IP-Adressen gehostet wurden. Dem Bericht zufolge tauchten einige dieser Domains in raubkopierten oder modifizierten Streaming-Apps auf.

Die Forscher stellten außerdem fest, dass viele der früher in der Kampagne verwendeten Domains im Juli 2025 im Rahmen umfassenderer Maßnahmen unter Beteiligung von Google, HUMAN Security und Trend Micro außer Betrieb genommen wurden. Nach dieser Aktion wurden neue Domains registriert. Eine besonders relevante Domain, ninjatech.io, war jedoch bereits mit einem von Moishi Kramer gegründeten Unternehmen verbunden.

Stellungnahme des Unternehmens und Widerspruch

Kramer, der auf LinkedIn als Vice President of Research and Development bei NetNut geführt wird, erklärte, sein früheres Software Development Kit sei vor Jahren verkauft und lizenziert worden. Weder er noch NetNut betrieben die Infrastruktur, die nun als Popa beschrieben werde. Er sagte, er habe keine Kontrolle über die betreffenden Domains und sei nicht an der Registrierung der jüngeren Domains beteiligt gewesen.

Alarum Technologies wies die Berichte als unzutreffend zurück und erklärte, seine Proxy-Produkte seien für die rechtmäßige gemeinsame Nutzung von Bandbreite vorgesehen. Das Unternehmen erklärte, es führe eine Überprüfung der Kunden durch und setze Einwilligungsmechanismen sowie technische Kontrollen ein, um Missbrauch einzuschränken.

Diese Darstellung wird von anderen Proxy-Forschern angefochten. In einem separaten Bericht erklärte Spur, NetNut führe vor dem Verkauf des Proxy-Zugangs keine aussagekräftige Überprüfung von Unternehmen durch. Zudem könnten Wiederverkäufer denselben Proxy-Pool unter verschiedenen Marken neu verpacken, so Spur.

Die widersprüchlichen Darstellungen verdeutlichen die anhaltende Beobachtung von Residential-Proxy-Diensten – insbesondere dann, wenn Geräte von Verbrauchern dazu genutzt werden, kommerziellen Datenverkehr ohne eindeutige Kenntnis oder Zustimmung der Nutzer zu übertragen.