Durante los últimos cuatro años, una extensa botnet basada en Android conocida como Popa ha obligado a millones de cajas de televisión de consumo a retransmitir tráfico de Internet vinculado a fraudes publicitarios, toma de cuentas y esfuerzos masivos de recopilación de datos. Esta semana, investigadores de múltiples empresas de ciberseguridad concluyeron que la botnet Popa está relacionada con NetNut, un proveedor de “proxy residencial” operado por la empresa israelí Alarum Technologies Ltd, que cotiza en el NASDAQ bajo el símbolo ALAR.
Popa se presenta como una botnet masiva, aunque se diferencia de las botnets tradicionales que suelen involucrar sistemas comprometidos en actividades destructivas, como coordinar grandes ataques de denegación de servicio distribuidos (DDoS). En cambio, Popa parece haber sido diseñada con un propósito singular: implementar una capa de comunicación persistente capaz de registrar un dispositivo, mantener conexiones encriptadas de larga duración y abrir túneles de comunicación bajo demanda.
Los expertos apuntan que Popa es un componente adicional asociado con la botnet Vo1d, una campaña de malware a gran escala que tiene como objetivo cajas de televisión basadas en Android no oficiales. Estos dispositivos, que se comercializan bajo miles de nombres de marca y números de modelo, están ampliamente disponibles en los principales destinos de comercio electrónico y prometen la capacidad de transmitir cientos de servicios de video por suscripción a cambio de un único pago inicial.
Sin embargo, como han advertido repetidamente el FBI y expertos de la industria de la seguridad, estas cajas de streaming generalmente vienen empaquetadas o preinstaladas con software que convierte el televisor del usuario en un “proxy residencial”, permitiendo que cualquier persona dirija su tráfico de Internet a través de ese dispositivo mientras permanezca conectado a la corriente y a una red local. Más preocupante aún, algunas de estas redes de proxy no hacen mucho para evitar que usuarios malintencionados se comuniquen y comprometan sistemas en la red local del propietario del dispositivo desprevenido.
Los primeros indicios sobre los orígenes de Popa surgieron en un informe de 2025 emitido por la empresa de seguridad china XLAB, que identificó al menos nueve nombres de dominio utilizados para registrar y dirigir las actividades de dispositivos comprometidos. En un informe publicado recientemente, la firma de seguridad Qurium describió cómo se topó con algunos de esos mismos dominios mientras investigaba una serie de eventos disruptivos y costosos de recopilación de datos que afectaron a las organizaciones hospedadas por la empresa en mayo de 2026, en los que la actividad de scraping se distribuyó de manera uniforme a través de más de 1,4 millones de direcciones de Internet.
Qurium reportó haber encontrado varios docenas de dominios utilizados para controlar Popa, todos ellos hospedados de manera sincronizada en múltiples direcciones de Internet a lo largo del tiempo, incluyendo gmslb[.]net, safernetwork[.]io, tera-home[.]com y ninjatech[.]io. Al profundizar más, Qurium descubrió que gmslb[.]net fue mencionado en docenas de aplicaciones de streaming de contenido de video pirata o modificadas, como CRICFy, DooFlix, Sprozfy, RTS Tv, Flixoid, CyberFlix, Rapid Streamz, TvMob y HD/OceanStreams.
El informe de Qurium señala que la mayoría de los dominios utilizados durante mucho tiempo para controlar la botnet Popa fueron incautados o desmantelados en julio de 2025, después de que Google, HUMAN Security y Trend Micro se unieran para interrumpir Badbox 2.0, una botnet estrechamente asociada con Vo1d. Qurium afirmó que inmediatamente después de esa interrupción, se registraron varios docenas de nuevos dominios para servir como controladores de la botnet Popa, pero que uno de esos dominios de control no era nuevo: ninjatech[.]io.
Ninjatech es una empresa fundada por Moishi Kramer, cuyo perfil de LinkedIn indica que es vicepresidente de investigación y desarrollo en NetNut. Este currículum acredita a Kramer por haber ayudado a construir NetNut desde sus cimientos, "diseñando la arquitectura" y "escalando NetNut" antes de que la empresa fuera adquirida por Alarum Technologies. Un anuncio auto-creado en la bolsa de trabajo F6S menciona a Kramer como el único propietario del dominio Ninjatech.
En respuesta a una consulta por correo electrónico, el Sr. Kramer afirmó que Ninjatech cesó operaciones hace aproximadamente cinco años, cuando la empresa vendió un kit de desarrollo de software (SDK) llamado Popa, diseñado para utilizar una pequeña parte del ancho de banda de un dispositivo y funcionar únicamente después de que la aplicación anfitriona obtuviera el consentimiento del usuario. "Ese código fue vendido y licenciado a terceros, incluidos revendedores, hace años", comentó Kramer. "Una vez que el software se distribuye de esa manera, el desarrollador original no tiene control sobre cómo otros lo modifican, renombran o implementan posteriormente".
Kramer aseguró que ni él ni NetNut construyen, operan o mantienen la infraestructura que se describe como Popa, ni controla el dominio Ninjatech. "No registré los dominios de junio de 2025 que mencionas, y no sé quién lo hizo", continuó. "No tengo control sobre, ni visibilidad de, esa infraestructura. Solo puedo decirte que no es operada por mí ni por NetNut".
Sin embargo, en un informe de investigación separado sobre Popa publicado hoy, la empresa de seguimiento de proxies Synthient afirmó que un análisis reciente del SDK de Popa reveló tráfico saliente claramente asociado con NetNut. "El equipo de investigación estima con alta confianza que los dispositivos que ejecutan Popa reenvían tráfico de clientes de NetNut", escribió Synthient. "Esto prueba sin lugar a dudas que Popa sigue siendo utilizado activamente por NetNut como parte de su grupo de proxies".
Alarum Technologies, la empresa matriz de NetNut con sede en Tel Aviv, declaró que los informes de Synthient y Qurium contenían "afirmaciones demostrablemente inexactas y deducciones erróneas en lugar de hechos verificados". Alarum compartió una declaración en la que rechazan la caracterización básica de los SDK y tecnologías discutidos en los informes como una "botnet".
Los SDK en cuestión están diseñados para facilitar la funcionalidad de compartición de ancho de banda y no convierten los dispositivos de los usuarios en sistemas controlados por malware ni comprometen de ninguna manera los dispositivos en los que operan. Así lo afirma NetNut, que opera una red de proxies comerciales y mantiene políticas, procedimientos y medidas tecnológicas orientadas a promover un uso legal y responsable de sus servicios.
Alarum, una empresa de análisis de seguridad, destacó que NetNut otorga “una gran importancia a los mecanismos de aviso y consentimiento apropiados, realiza una debida diligencia sobre sus clientes, monitorea posibles usos indebidos y toma medidas destinadas a detectar y mitigar actividades sospechosas o no autorizadas”. Esta operación está respaldada tanto por procedimientos y políticas internas, como por la implementación de medidas tecnológicas que facilitan la identificación y el abordaje de posibles abusos en la red de proxies.
Sin embargo, en un informe publicado el 8 de junio, el servicio de rastreo de proxies Spur afirmó que NetNut no exige verificación corporativa ni procedimientos significativos de “conoce a tu cliente” (KYC) antes de permitir que los clientes adquieran acceso a proxies. Según Spur, “un individuo puede registrarse, pagar y dirigir tráfico a través de direcciones de socios, incluyendo aquellas de instituciones cuyos usuarios nunca dieron su consentimiento”. La afirmación de que solo las “corporaciones verificadas” pueden acceder es, según Spur, simplemente una estrategia de marketing para los vendedores de ancho de banda, y no un control de acceso sobre quién utiliza realmente los proxies.
Además, Spur señaló que NetNut no es la única puerta de entrada. Varios revendedores y etiquetadores de marca blanca reempaquetan la misma pool de proxies de ISP bajo sus propias marcas. Estos outlets, por lo general, no realizan ningún tipo de verificación KYC, lo que implica un menor escrutinio que el que aplica NetNut, que al menos podría asignar un gestor de cuentas a los potenciales usuarios. Cualquiera que sepa dónde buscar puede comprar acceso a través de un revendedor con tan solo una dirección de correo electrónico desechable y cinco dólares en criptomonedas.
Synthient, por su parte, descubrió que aunque las versiones más recientes de Popa (hasta hace tres meses) han incorporado la capacidad de solicitar el consentimiento del usuario antes de instalar componentes de proxy, no todas las variantes o versiones anteriores de Popa cuentan con esta funcionalidad. De los más de 20 editores genuinos de Popa analizados, ninguno de ellos fue observado solicitando el consentimiento del usuario.
Chris Formosa, ingeniero principal de seguridad de la información en Black Lotus Labs, una división del proveedor de infraestructura de Internet Lumen Technologies, señaló que lo que hace especialmente peligroso a Popa es la amplitud de uso que tiene NetNut para la reventa y el compartimiento de proxies. Muchos otros servicios de proxy simplemente revenden proxies de NetNut en lugar de construir sus propias redes. “Por lo tanto, estas IPs de Popa aparecen en numerosos servicios en todo el ecosistema, lo que lo convierte en uno de los botnets de proxy más problemáticos y peligrosos actualmente en el mercado”, explicó Formosa.
El botnet de Popa promedia entre 1,5 millones y 2,5 millones de direcciones IP distintas cada día, dependiendo de entre 250 y 300 direcciones de Internet que se utilizan para dirigir sus actividades. “Por eso Popa es tan peligroso”, afirmó Formosa. “Puede que no sea el botnet más grande que hemos visto, pero su presencia está muy extendida en la industria, lo que amplifica su poder”.
A pesar de que eso hace de Popa uno de los botnets más grandes en la actualidad, sus cifras palidecen en comparación con las que anteriormente presumía IPIDEA, un proveedor de proxies con sede en China que hasta hace poco operaba una pool diaria de casi 10 millones de dispositivos que revendía como proxies a cualquier interesado. En enero de 2026, Synthient publicó investigaciones que mostraban que múltiples nuevos grandes botnets DDoS habían crecido rápidamente al canalizarse a través de proxies de IPIDEA en las redes locales de propietarios de cajas de televisión desprevenidos, infectando otros dispositivos basados en Android detrás del firewall del usuario.
IPIDEA se basa en gran medida en SDK utilizados para visualizar contenido de streaming pirateado en un vasto número de dispositivos de cajas de televisión, pero el número de sus dispositivos ha disminuido desde enero, cuando Google y sus socios de la industria tomaron acciones legales para incautar nombres de dominio que IPIDEA utilizaba para controlar dispositivos y dirigir el tráfico a través de ellos.
Jérôme Meyer, investigador de seguridad en Nokia Deepfield, indicó que la población total de dispositivos que participan en el botnet de Popa podría ser considerablemente mayor que las estimaciones de Lumen. Meyer comunicó a KrebsOnSecurity que Nokia está monitoreando 26 de al menos 359 nodos de retransmisión conocidos para el botnet, y estima que cada nodo maneja entre 35,000 y 60,000 clientes simultáneamente. “En el subconjunto de nodos de retransmisión que estoy analizando (26 de ellos), se registraron 750,000 fuentes únicas en 24 horas”, escribió Meyer en respuesta a preguntas.
Nokia Deepfield publicó hoy su propio informe sobre RoboVPN, una aplicación de VPN vinculada al complemento Popa del botnet Vo1d, que Qurium atribuye a NetNut/Alarum Technologies.
Expertos indican que muchos de los mayores proveedores de proxies del mundo han actualizado su imagen pública para resaltar su utilidad en la formación de plataformas de inteligencia artificial, implicando que es un caso de uso principal para sus proxies residenciales. Esto se debe a que los servicios de inteligencia artificial tienden a depender de la recopilación masiva de contenido de texto, imágenes y videos de la web que pueden ser utilizados para entrenar grandes modelos de lenguaje (LLMs).
NetNut y otros servicios de proxy se han reposicionado como infraestructura crítica para la economía de raspado de inteligencia artificial. Un informe de Include Security, publicado este mes, subraya que “las empresas de IA dependen del contenido extraído de la web: para el preentrenamiento, para la recuperación, para la fundamentación de agentes, para la búsqueda”. “Pero la web moderna no es raspable desde un centro de datos. Cloudflare, DataDome, HUMAN, entre otros, limitan o bloquean solicitudes desde IPs de nube conocidas. La solución alternativa son los proxies residenciales. Un trabajo de raspado que se dirige a través de la conexión de un suscriptor de Comcast o T-Mobile llega al sitio objetivo desde una IP que pertenece a un cliente residencial que paga”.
La actividad de raspado de contenido no cesa y ha dado lugar a más de 70 demandas por infracción de derechos de autor contra importantes empresas tecnológicas, que han reconocido el raspado de datos a gran escala como una fuente principal de la inteligencia que alimenta sus ofertas comerciales de inteligencia artificial (IA). Paradójicamente, gran parte de este raspado se ve facilitado por servicios de proxy que están íntimamente relacionados con cajas de Android TV no oficiales y sus respectivos kits de desarrollo (SDK), cuyo propósito declarado es la transmisión de contenido pirata.
Este fenómeno de raspado ha alcanzado niveles tan agresivos que a menudo abrumará a los sitios web objetivo, impidiendo que los visitantes legítimos puedan acceder a ellos. En numerosos casos reportados, organizaciones sin ánimo de lucro, bibliotecas y universidades han expresado su preocupación por la constante lucha para mantener sus servicios operativos ante la incesante actividad de empresas de raspado de datos que se esconden detrás de servicios de proxy residenciales.
Un estudio realizado el año pasado por la Confederación de Repositorios de Acceso Abierto (COAR) reveló que, si bien algunos bots de raspado de contenido son relativamente inofensivos, otros son lo suficientemente agresivos como para causar cada vez más interrupciones en los servicios de los repositorios y otras infraestructuras de comunicación académica. Más del 90% de los encuestados indicaron que su repositorio se enfrenta a bots agresivos, generalmente más de una vez a la semana, lo que frecuentemente conduce a ralentizaciones y caídas del servicio.
El experto en plataformas Brendan O’Connell, director de la Directory of Open Access Journals (DOAJ), un índice gratuito y comunitario de revistas académicas revisadas por pares, comentó: “El raspado web automatizado no es nada nuevo y ha sido la tecnología clave que sustenta motores de búsqueda como Google durante más de 30 años. Sin embargo, la actual fiebre de startups de IA impulsada por inversores ha llevado a que miles de empresas bien financiadas desarrollen y desplieguen sus propias herramientas de raspado para entrenar modelos de IA, junto a los gigantes del sector como OpenAI y Google”.
En Estados Unidos, las comunidades locales están resistiendo la proliferación de nuevos centros de datos destinados principalmente a mejorar las capacidades de la IA. Sin embargo, los expertos en seguridad advierten que el público en general permanece en gran medida ajeno a que el uso de estas cajas de Android TV no autorizadas implica que su “smart TV” está utilizando, casi con certeza, una cantidad significativa de ancho de banda cada mes para ayudar a entrenar modelos modernos de IA.
Incluso en hogares que no poseen estas cajas de TV dudosas, los televisores inteligentes pueden convertirse en nodos de proxy residenciales simplemente al descargar una de las miles de aplicaciones disponibles en los televisores inteligentes de Samsung y LG. Spur, una empresa de ciberseguridad, afirmó haber analizado recientemente las tiendas de aplicaciones de LG y Samsung, encontrando que cada una ofrecía aproximadamente 3,000 aplicaciones para descargar. Muchas de estas aplicaciones son juegos simples o utilidades que indican en la letra pequeña que la conexión a Internet del usuario será utilizada para descargar datos, con la opción de optar por no participar en cualquier momento.
Spur descubrió que más del 42% de las aplicaciones disponibles para descarga a través del sistema operativo webOS en los televisores LG incluyen SDK que convierten el televisor en un nodo de proxy residencial siempre activo. Además, más de una cuarta parte de las aplicaciones diseñadas para el sistema operativo Tizen de Samsung también contenían componentes de proxy residencial, según los hallazgos de Spur.
Los expertos cuestionan si las aplicaciones de TV con SDK de proxy pueden obtener un consentimiento significativo de los usuarios para instalar una conexión de proxy siempre activa, especialmente cuando cualquier persona en el hogar —incluidos los niños— puede, de hecho, incluir a la televisión familiar en una red de proxy residencial simplemente al instalar un juego o aplicación sencilla.
“Incluir una divulgación de política de privacidad es el control equivocado para un televisor”, afirmó Include Security. “Es complicado desplazarse por un documento legal utilizando las teclas de flecha de un mando a distancia, y el diálogo de consentimiento en la aplicación no transmite que un cliente que paga está a punto de redirigir su tráfico de raspado a través de la conexión a Internet del hogar”.
El director de investigación de Spur, Sean Simmons, declaró a KrebsOnSecurity que la mayoría de las personas no tienen un modelo mental claro sobre lo que significa vender acceso a su dirección IP residencial, sin importar el dispositivo que estén utilizando. “Y en un televisor, la brecha es aún mayor”, comentó Simmons. “Un aviso único que se navega con un mando puede desaparecer en el flujo de configuración, mientras que la aplicación sigue monetizando la conexión mucho después de que alguien recuerde lo que aceptó”.
Simmons sugirió que LG y Samsung deberían seguir el ejemplo de otras plataformas de televisores que ya han trazado una línea contra los proveedores de proxies residenciales, citando políticas de Amazon que prohíben aplicaciones que faciliten servicios de proxy para terceros. De igual manera, se ha informado que el fabricante de dispositivos de streaming Roku también ha prohibido a los desarrolladores utilizar SDK de proxy y ha eliminado aplicaciones que los integran.
Las aplicaciones que convierten un dispositivo en un nodo de proxy residencial no se limitan a los televisores inteligentes y cajas de streaming de marcas desconocidas. Como señaló la firma de seguridad Infoblox, los desarrolladores de aplicaciones móviles pueden integrar SDK proporcionados por redes de proxy residenciales en sus productos para monetizar su software, permitiéndoles recibir una pequeña cantidad de dinero por cada instalación.
El resultado, según Infoblox, es que los dispositivos son frecuentemente inscritos sin el conocimiento del propietario, típicamente a través de aplicaciones gratuitas como VPN, aplicaciones de streaming, salvapantallas y aplicaciones de “productividad” como visores de PDF y recordatorios de descanso.
Con una frecuencia alarmante, estos servicios de proxy están emitiendo señales desde los dispositivos de los empleados llevados al lugar de trabajo, según descubrió Infoblox. En una publicación de blog a principios de este mes, Infoblox informó haber encontrado que el 65% de su base de clientes estaba consultando uno o más dominios relacionados con proxies residenciales. “Observamos un crecimiento constante en estas consultas en 2025, con un aumento del 25% durante el año, alcanzando más de 500 mil millones por mes”, indicó Infoblox. “Más del 90% de nuestros clientes del sector farmacéutico y de alimentos y bebidas han consultado indicadores de proxy residencial. Quizás lo más preocupante es que más del 60% de nuestros clientes del gobierno y la banca también lo han hecho”.
Investigadores de Infoblox, Nick Sundvall y David Brunsdon, han alertado sobre los peligros que representan los proxies residenciales en entornos corporativos, ya que estos pueden otorgar acceso externo al espacio IP de una organización. Según sus declaraciones, el uso indebido de un proxy residencial por parte de actores maliciosos podría permitir que estos lancen ataques contra terceros. En tal escenario, la respuesta a incidentes de la parte afectada identificaría, de manera correcta, el proxy residencial como el origen del ataque.
Desenredar esta situación puede resultar complicado, ya que la empresa afectada tendría que demostrar que actuó como un mero conducto de la actividad maliciosa y no como el perpetrador del ataque. Este proceso no solo consume tiempo, sino que también puede generar una exposición legal significativa y dañar la reputación de la organización implicada. La alarmante prevalencia de estos servicios en los entornos de los clientes exige una atención urgente tanto por parte de los defensores de redes como de los responsables de políticas de seguridad. Es esencial que se evalúen los riesgos que los proxies residenciales representan y cómo estos pueden influir negativamente en la postura de seguridad de las organizaciones. La gestión proactiva de estos riesgos se vuelve crucial para mitigar las posibles repercusiones en la integridad y confianza corporativa.