Una investigación de varias empresas de ciberseguridad ha relacionado la botnet Popa, formada por millones de dispositivos Android TV Box, con NetNut, un proveedor de proxys residenciales propiedad de la empresa israelí cotizada Alarum Technologies. Los investigadores sostienen que los dispositivos afectados estarían utilizando las conexiones domésticas de sus propietarios para canalizar tráfico de terceros sin que todos los usuarios fueran plenamente conscientes.
La compañía rechaza que su tecnología deba considerarse una botnet y asegura que sus servicios funcionan con mecanismos de consentimiento, verificación de clientes y controles contra usos abusivos. El caso abre un nuevo debate sobre las redes de proxys residenciales y el software instalado en dispositivos de streaming económicos.
Qué es la botnet Popa
Popa no funcionaría como una botnet tradicional dedicada a lanzar ataques masivos de denegación de servicio. Su principal objetivo sería mantener conexiones persistentes y abrir túneles de comunicación cuando un cliente de una red de proxys necesita enviar tráfico a través del dispositivo.
En la práctica, una TV Box conectada al router de una vivienda podría actuar como intermediaria entre un cliente externo y una página web. Para el servicio de destino, la conexión parecería proceder de la dirección IP residencial del propietario del dispositivo y no del verdadero usuario que genera el tráfico.
Este tipo de infraestructura puede utilizarse para tareas legítimas, como comprobar precios o acceder a contenidos desde diferentes países. Sin embargo, también puede facilitar fraude publicitario, creación y robo de cuentas, recopilación automatizada de datos y otras actividades difíciles de rastrear.
TV Box económicas convertidas en proxys
Los investigadores asocian Popa con Vo1d, una campaña de malware que afecta a dispositivos Android TV no oficiales. Estas cajas multimedia se venden en numerosas plataformas de comercio electrónico con diferentes marcas y modelos, y suelen prometer acceso a cientos de servicios audiovisuales mediante un único pago.
El problema es que algunos dispositivos incluyen software preinstalado o aplicaciones modificadas que convierten la conexión del usuario en parte de una red de proxys residenciales. Mientras el aparato permanece conectado a Internet y a la corriente, terceros pueden utilizar su dirección IP para dirigir tráfico.
Además del consumo de ancho de banda, esta actividad puede generar otros riesgos. Si el tráfico canalizado está relacionado con fraude, ataques o accesos no autorizados, la dirección IP visible será la de la vivienda o empresa donde está instalado el dispositivo.
Algunos servicios de proxy también podrían permitir que clientes maliciosos interactuaran con otros sistemas de la red local, aumentando el riesgo para ordenadores, teléfonos y equipos conectados al mismo router.
Una campaña con más de 1,4 millones de direcciones IP
La organización Qurium comenzó a estudiar esta infraestructura después de detectar en mayo de 2026 una campaña masiva de recopilación automatizada de datos contra entidades alojadas en sus sistemas.
La actividad estaba distribuida entre más de 1,4 millones de direcciones IP, una característica habitual de las redes de proxys residenciales. Al repartir las solicitudes entre numerosas conexiones domésticas, los responsables dificultan que las páginas web puedan reconocer y bloquear el tráfico automatizado.
Los investigadores identificaron decenas de dominios utilizados para controlar Popa, entre ellos gmslb.net, safernetwork.io, tera-home.com y ninjatech.io.
También descubrieron referencias a esta infraestructura en aplicaciones modificadas o no oficiales para consumir contenidos, como CRICFy, DooFlix, Flixoid, CyberFlix, Rapid Streamz y TvMob.
La conexión investigada con NetNut
Parte de la infraestructura vinculada a Popa ya había sido retirada en julio de 2025 durante una operación contra Badbox 2.0, otra red maliciosa relacionada con dispositivos Android. Tras esa intervención, aparecieron nuevos dominios de control, aunque uno de los utilizados anteriormente, ninjatech.io, continuó apareciendo en los análisis.
Ninjatech fue fundada por Moishi Kramer, actual vicepresidente de investigación y desarrollo de NetNut. Kramer explicó que la empresa dejó de operar hace unos cinco años y que había vendido un kit de desarrollo llamado Popa a terceros.
Según su versión, el software estaba diseñado para compartir una pequeña parte del ancho de banda únicamente después de obtener el consentimiento del usuario. Una vez vendido y distribuido, añadió, los desarrolladores originales perdieron el control sobre posibles modificaciones o usos posteriores.
Kramer negó que él o NetNut operen actualmente la infraestructura atribuida a Popa.
