Botnet Popa expõe lado obscuro dos proxies residenciais

Por quatro anos, uma imensa botnet baseada em Android, chamada Popa, forçou milhões de dispositivos de TV box a retransmitir tráfego de internet para esquemas de fraude publicitária, invasões de contas e raspagem massiva de dados. A descoberta recente, divulgada por pesquisadores de segurança, liga diretamente essa operação a uma empresa de capital aberto: a israelense Alarum Technologies Ltd, controladora do serviço de proxies residenciais NetNut. Mas o que está por trás do discurso oficial de “compartilhamento de banda com consentimento” revela uma realidade muito mais sombria, onde a privacidade de milhões de usuários foi sequestrada sem que eles soubessem.

Segundo a investigação de Brian Krebs, a botnet Popa é um componente do ecossistema Vo1d, que infecta TV boxes Android não oficiais — aqueles aparelhos vendidos online com a promessa de streaming ilimitado por uma taxa única. O problema é que, embutido nesses dispositivos, há um software que transforma a rede doméstica do usuário em um proxy residencial, permitindo que terceiros roteiem suas atividades através do IP da vítima. E o pior: muitas vezes sem qualquer aviso ou consentimento real.

A fachada do consentimento e a realidade do sequestro digital

A defesa de Alarum Technologies se apoia na alegação de que seus SDKs (kits de desenvolvimento de software) são projetados para “compartilhamento de banda com consentimento”. No entanto, a realidade desmonta essa narrativa. A empresa de rastreamento de proxies Synthient analisou mais de 20 versões do SDK Popa e constatou que nenhuma delas exibia qualquer solicitação de consentimento ao usuário. Ou seja, a funcionalidade de pedir permissão simplesmente não existia nas variantes ativas. Isso não é um desvio de conduta de terceiros — é um design intencional.

Quando questionado, Moishi Kramer, fundador da Ninjatech (domínio usado no controle da botnet) e vice-presidente de P&D da NetNut, afirmou que o código foi vendido a terceiros e que ele não tem controle sobre seu uso atual. Mas a Synthient detectou tráfego de saída dos dispositivos Popa diretamente associado aos clientes da NetNut. A conclusão é inevitável: a própria NetNut se beneficiava ativamente da botnet. A desconexão entre o discurso corporativo e a evidência técnica é um padrão que se repete em escândalos de privacidade — e que exige um olhar muito mais crítico.

O ecossistema de raspagem de dados e suas vítimas silenciosas

A botnet Popa não existe no vácuo. Ela alimenta uma indústria bilionária de raspagem de dados, onde proxies residenciais são a chave para burlar sistemas de proteção e sugar informações de sites, plataformas e até mesmo de redes internas. Empresas de inteligência artificial, como as que treinam grandes modelos de linguagem, dependem desse tipo de coleta massiva. Mas o custo é pago por usuários comuns, que têm suas conexões exploradas sem saber, e por organizações que sofrem com sobrecarga de servidores, indisponibilidade de serviços e, em casos extremos, invasões a sistemas internos.

O pesquisador Chris Formosa, da Black Lotus Labs (Lumen Technologies), alerta que o perigo da Popa é amplificado pela sua capilaridade: “Esses IPs aparecem em toneladas de serviços diferentes em todo o ecossistema, o que a torna uma das botnets de proxy mais problemáticas e perigosas do mercado atualmente”. Estima-se que a botnet movimente entre 1,5 milhão e 2,5 milhões de IPs únicos por dia. E, como aponta a Nokia Deepfield, o número real de dispositivos pode ser ainda maior — cada nó de retransmissão pode gerenciar de 35 mil a 60 mil clientes simultaneamente.

Essa infraestrutura não é usada apenas para fins “legítimos”. Proxies residenciais são a ferramenta preferida de cibercriminosos para invasão de contas, fraudes financeiras e disseminação de malware. E a NetNut, segundo a empresa de rastreamento Spur, não exige verificação corporativa significativa para vender acesso. “Um indivíduo pode se inscrever, pagar e rotear tráfego através de espaço de endereçamento de parceiros, incluindo instituições cujos usuários nunca consentiram”, denunciou a Spur. Revendedores downstream operam com ainda menos escrutínio, aceitando criptomoedas e e-mails descartáveis. A porta está escancarada para o abuso.

Quando seu celular roubado vira um proxy ambulante

A lógica por trás da botnet Popa não se limita a TV boxes. Dispositivos móveis, especialmente celulares roubados ou furtados, são alvos cada vez mais cobiçados para esse tipo de exploração. Um aparelho desbloqueado e conectado a uma rede Wi-Fi pode ser rapidamente infectado com malware que o transforma em um proxy residencial. O criminoso não quer apenas revender o hardware; ele pode lucrar muito mais vendendo o acesso à sua conexão limpa. Imagine seu IP sendo usado para aplicar golpes, acessar conteúdo ilegal ou invadir sistemas corporativos — tudo rastreável até você.

Por isso, medidas básicas de segurança são urgentes: mantenha o sistema operacional e os aplicativos sempre atualizados, evite instalar apps fora das lojas oficiais, use autenticação de dois fatores em todas as contas e, principalmente, nunca subestime a importância de uma senha forte e única para cada serviço. Em caso de roubo ou furto, o primeiro passo deve ser o bloqueio remoto do dispositivo e a alteração imediata de todas as senhas. Mas a verdadeira proteção começa antes: monitore proativamente se suas credenciais já foram expostas em vazamentos. Ferramentas de monitoramento de identidade digital, como a oferecida pela Kzarka, podem alertá-lo sobre dados comprometidos antes que eles sejam usados contra você.

Leia também: Startup Criminosa Explora Brechas: Proteja Já Seus Dados. Esse caso recente mostra como criminosos se aproveitam de falhas em sistemas para coletar dados pessoais em massa, reforçando a necessidade de vigilância constante.

A responsabilidade corporativa que nunca chega

O caso Popa escancara uma falha sistêmica na cadeia de responsabilidade. Empresas como Alarum Technologies se blindam atrás de termos de serviço vagos e da terceirização de culpa, enquanto milhões de dispositivos são usados como zumbis digitais. A narrativa de que “não controlamos o que terceiros fazem com nosso código” é uma cortina de fumaça. Se o SDK foi projetado para operar sem consentimento real, e se a infraestrutura da empresa se beneficia diretamente desse tráfego, há responsabilidade objetiva. O fato de ser uma empresa de capital aberto, sujeita a regulações de mercado, torna a omissão ainda mais grave.

O relatório da Synthient é categórico: “Isso prova, sem sombra de dúvida, que o Popa continua a ser usado ativamente pela NetNut como parte de seu pool de proxies”. Não se trata de um desvio isolado, mas de um modelo de negócios construído sobre a exploração não consentida. E o pior é que essa prática não é exclusiva. A indústria de proxies residenciais floresce na zona cinzenta entre o consentimento forjado e a invasão pura e simples, alimentando um ecossistema que vai da raspagem agressiva de dados até crimes cibernéticos graves.

A omissão das autoridades e a lentidão das ações de enforcement só agravam o cenário. Enquanto isso, os usuários finais — muitos deles sem qualquer conhecimento técnico — arcam com as consequências: lentidão na internet, risco de terem seus dispositivos usados para atividades ilegais e, em última instância, a exposição de seus dados pessoais. A pergunta que fica é: até quando a sociedade vai tolerar que empresas lucrem com a violação silenciosa da privacidade alheia?

O papel da inteligência artificial na economia da vigilância

Não é coincidência que a NetNut e outras empresas de proxy tenham reposicionado seu marketing para destacar a utilidade no treinamento de inteligência artificial. Modelos de linguagem de grande escala dependem de quantidades colossais de dados raspados da web. Mas, como aponta um relatório da Include Security, “a web moderna não é raspável a partir de um datacenter”. Sistemas como Cloudflare e DataDome bloqueiam requisições de IPs de nuvem conhecidos. A solução? Proxies residenciais, que fazem o tráfego parecer originado de um usuário comum. Assim, a indústria de IA se torna cúmplice involuntária — ou talvez nem tão involuntária — desse mercado obscuro.

O resultado é um ciclo vicioso: dispositivos infectados alimentam proxies, que viabilizam a raspagem massiva, que por sua vez treina IAs, que geram demanda por ainda mais dados. Enquanto isso, sites de pequenas organizações, bibliotecas e repositórios acadêmicos sofrem com sobrecarga e indisponibilidade. A COAR (Confederation of Open Access Repositories) relatou que mais de 90% dos repositórios acadêmicos enfrentam bots agressivos semanalmente, causando lentidão e quedas de serviço. O conhecimento livre está sendo sufocado pela ganância corporativa.

Leia também: IA de Elon Musk é processada por gerar imagens sexuais de menores. Esse caso ilustra como a falta de controle sobre os dados de treinamento pode levar a consequências devastadoras, reforçando a urgência de práticas éticas e transparentes no uso de dados.

Perguntas Frequentes (FAQ)

O que é uma botnet de proxy residencial e por que ela é perigosa?

Uma botnet de proxy residencial é uma rede de dispositivos infectados (como TV boxes, roteadores ou celulares) que são controlados remotamente para retransmitir tráfego de internet. O perigo está no fato de que criminosos podem usar sua conexão para cometer fraudes, invadir contas ou acessar conteúdo ilegal, e toda a atividade será rastreada até o seu IP, colocando você sob suspeita. Além disso, o dispositivo pode servir de ponte para ataques a outros equipamentos na sua rede doméstica.

Como posso saber se meu dispositivo faz parte de uma botnet como a Popa?

Sinais incluem lentidão inexplicável da internet, superaquecimento do aparelho mesmo em repouso, consumo elevado de dados móveis e aparecimento de processos desconhecidos no gerenciador de tarefas. Para TV boxes Android não oficiais, o risco é maior. Utilize ferramentas de monitoramento de rede e mantenha um antivírus atualizado. Serviços como o da Kzarka podem alertar se suas credenciais foram expostas em vazamentos, o que muitas vezes está correlacionado com infecções por malware.

O que fazer se eu tiver um celular roubado para evitar que ele vire um proxy?

Aja imediatamente: bloqueie o IMEI com a operadora, use recursos como “Encontrar Meu Dispositivo” (Android) ou “Buscar iPhone” (iOS) para localizar, bloquear e apagar os dados remotamente. Troque todas as senhas de contas acessadas no aparelho. Avise contatos sobre o roubo para evitar golpes de phishing. Por fim, monitore regularmente se seus dados pessoais circulam em listas de vazamento — a prevenção é sua melhor defesa.

A botnet Popa é um alerta vermelho sobre os riscos ocultos em dispositivos que colocamos dentro de casa. A falsa sensação de segurança, alimentada por empresas que lucram com nossa ignorância, é o terreno fértil para abusos em massa. Não espere ser a próxima vítima. Verifique agora se seus dados foram expostos em vazamentos e assuma o controle da sua identidade digital com o monitoramento proativo da Kzarka.