Des chercheurs établissent un lien entre le botnet Android « Popa » et le réseau de proxys NetNut, l’entreprise conteste ces accusations

Des chercheurs en sécurité affirment qu’un botnet Android actif depuis longtemps, connu sous le nom de Popa, pourrait être lié à NetNut, un service de proxys résidentiels exploité par la société israélienne cotée Alarum Technologies Ltd. Ces travaux s’appuient sur des rapports distincts de Qurium et de Synthient, qui ont tous deux examiné l’infrastructure associée à cette campagne malveillante.

Selon les chercheurs, Popa transforme depuis des années des boîtiers de streaming grand public en nœuds relayant du trafic internet pour des activités allant de la fraude publicitaire aux abus de comptes et à l’extraction de données à grande échelle. Les appareils infectés semblent faire partie d’un écosystème malveillant plus vaste lié à Vo1d, une campagne ciblant des boîtiers TV Android non officiels vendus en ligne sous de nombreuses marques.

Fonctionnement du réseau

Les chercheurs décrivent Popa comme un composant qui aide les appareils compromis à maintenir des connexions chiffrées et à recevoir des commandes au fil du temps. Plutôt que de se comporter comme un botnet destructeur, le malware serait destiné à assurer une couche de communication persistante pouvant servir à enregistrer les appareils et à ouvrir des tunnels lorsque cela est nécessaire.

Qurium a déclaré avoir identifié plusieurs domaines de commande et de contrôle liés à l’opération, notamment des domaines qui ont été hébergés sur différentes adresses IP au fil du temps. Selon le rapport, certains de ces domaines apparaissaient dans des applications de streaming piratées ou modifiées.

Les chercheurs ont également souligné que nombre des premiers domaines utilisés dans la campagne avaient été neutralisés en juillet 2025 lors d’opérations de démantèlement plus vastes impliquant Google, HUMAN Security et Trend Micro. Après cette action, de nouveaux domaines ont été enregistrés, mais l’un des domaines d’intérêt, ninjatech.io, était déjà associé à une entreprise fondée par Moishi Kramer.

Réponse de l’entreprise et contestation

Kramer, qui est présenté sur LinkedIn comme vice-président de la recherche et du développement chez NetNut, a déclaré que son ancien kit de développement logiciel avait été vendu et concédé sous licence des années auparavant, et que ni lui ni NetNut n’exploitent l’infrastructure désormais décrite comme Popa. Il a affirmé n’avoir aucun contrôle sur les domaines concernés et ne pas avoir participé à l’enregistrement des domaines récents.

Alarum Technologies a rejeté ces rapports, les qualifiant d’inexacts, et a déclaré que ses produits de proxy sont destinés à un partage légal de bande passante. L’entreprise affirme appliquer des procédures de vérification des clients, des mécanismes de consentement et des contrôles techniques visant à limiter les abus.

Cette position est contestée par d’autres chercheurs spécialisés dans les proxys. Dans un rapport distinct, Spur a déclaré que NetNut n’imposait pas de vérification significative des entreprises avant de vendre un accès à ses proxys, et a soutenu que des revendeurs pouvaient reconditionner le même pool de proxys sous différentes marques.

Ces récits contradictoires mettent en évidence la surveillance croissante dont font l’objet les services de proxys résidentiels, en particulier lorsque des appareils grand public sont utilisés pour acheminer du trafic commercial sans que les utilisateurs en aient clairement connaissance ou aient donné leur consentement.