I ricercatori collegano la botnet Android «Popa» alla rete di proxy NetNut, ma l’azienda contesta le accuse

I ricercatori di sicurezza affermano che una botnet Android attiva da anni, nota come Popa, potrebbe essere collegata a NetNut, un servizio proxy residenziale gestito dalla società israeliana quotata in borsa Alarum Technologies Ltd. I risultati emergono da rapporti separati di Qurium e Synthient, che hanno esaminato l’infrastruttura associata alla campagna malware.

Secondo i ricercatori, Popa ha trascorso anni a trasformare box per lo streaming destinati ai consumatori in nodi che inoltrano traffico Internet per attività che vanno dalle frodi pubblicitarie all’abuso degli account e allo scraping su larga scala. I dispositivi infetti sembrano far parte di un ecosistema malware più ampio legato a Vo1d, una campagna che prende di mira box TV non ufficiali basati su Android e venduti online con numerosi nomi diversi.

Come funziona la rete

I ricercatori descrivono Popa come un componente che aiuta i dispositivi compromessi a mantenere connessioni crittografate e a ricevere comandi nel tempo. Anziché comportarsi come una botnet distruttiva, il malware avrebbe il compito di supportare un livello persistente di comunicazione, utilizzabile per registrare i dispositivi e aprire tunnel quando necessario.

Qurium ha dichiarato di aver identificato diversi domini di comando e controllo collegati all’operazione, inclusi domini ospitati su indirizzi IP differenti nel corso del tempo. Secondo il rapporto, alcuni di questi domini comparivano in app di streaming pirata o modificate.

I ricercatori hanno inoltre osservato che molti dei domini utilizzati in precedenza nella campagna sono stati disattivati nel luglio 2025 durante operazioni più ampie che hanno coinvolto Google, HUMAN Security e Trend Micro. Dopo quell’intervento sono stati registrati nuovi domini, ma un dominio di interesse, ninjatech.io, era già associato a un’azienda fondata da Moishi Kramer.

La risposta dell’azienda e la controversia

Kramer, indicato su LinkedIn come vicepresidente della ricerca e sviluppo presso NetNut, ha dichiarato che il suo precedente kit di sviluppo software è stato venduto e concesso in licenza anni fa e che né lui né NetNut gestiscono l’infrastruttura che ora viene descritta come Popa. Ha affermato di non avere alcun controllo sui domini in questione e di non essere stato coinvolto nella registrazione di quelli più recenti.

Alarum Technologies ha respinto i rapporti, definendoli inesatti, e ha dichiarato che i suoi prodotti proxy sono destinati a un utilizzo legittimo per la condivisione della banda. L’azienda ha affermato di applicare procedure di verifica dei clienti, meccanismi di consenso e controlli tecnici volti a limitare gli abusi.

Altri ricercatori del settore dei proxy contestano questa posizione. In un rapporto separato, Spur ha affermato che NetNut non impone verifiche aziendali significative prima di vendere l’accesso ai proxy e ha sostenuto che i rivenditori possono riconfezionare lo stesso pool di proxy con marchi diversi.

Le versioni contrastanti evidenziano il controllo sempre più attento sui servizi proxy residenziali, soprattutto quando i dispositivi dei consumatori vengono utilizzati per veicolare traffico commerciale senza che gli utenti ne siano chiaramente consapevoli o abbiano prestato il proprio consenso.