Botnet Popa: sua TV box pode estar vazando seus dados

Nos últimos quatro anos, uma gigantesca botnet Android chamada Popa transformou milhões de TV boxes de consumidores em retransmissores de tráfego para fraudes publicitárias, invasões de contas e raspagem massiva de dados. Pesquisadores de múltiplas empresas de segurança concluíram que a Popa está ligada à NetNut, uma provedora de “proxies residenciais” operada pela empresa israelense de capital aberto Alarum Technologies Ltd. A notícia original, publicada por Brian Krebs, revela uma trama complexa que expõe o lado obscuro dos dispositivos de streaming pirata.

Mas o que está por trás do discurso oficial dessas empresas? Vamos além da superfície e questionamos: até que ponto sua privacidade está sendo vendida sem que você saiba?

O que é a botnet Popa e por que ela é diferente

A Popa não é uma botnet tradicional. Diferente de redes zumbis que coordenam ataques DDoS massivos, ela foi projetada com um propósito singular: manter conexões persistentes e criptografadas, registrar dispositivos e abrir túneis de comunicação sob demanda. Isso a torna uma ferramenta perfeita para o que chamam de “proxies residenciais” – serviços que alugam o endereço IP da sua casa para qualquer pessoa no mundo.

O problema? Esses proxies são vendidos como infraestrutura legítima para treinamento de IA, mas, na prática, viabilizam crimes como invasão de contas, roubo de identidade e raspagem ilegal de dados. E o pior: você pode estar participando disso sem nem imaginar, apenas por ter comprado uma TV box “milagrosa” que promete streaming ilimitado por uma taxa única.

Como destaca a investigação, a Popa é um componente plugin associado à botnet Vo1d, que mira dispositivos Android não oficiais. Esses aparelhos, vendidos sob milhares de marcas e modelos, vêm com software pré-instalado que transforma sua TV em um proxy residencial – e, frequentemente, sem qualquer consentimento real do usuário.

A ligação com a NetNut e as negativas oficiais

Os pesquisadores rastrearam dezenas de domínios usados para controlar a Popa, incluindo ninjatech[.]io, registrado por Moishi Kramer, vice-presidente de P&D da NetNut. Em resposta, Kramer afirmou que a empresa vendeu o SDK há cinco anos e não controla mais a infraestrutura. Mas a Synthient, empresa de rastreamento de proxies, provou que tráfego da Popa flui diretamente para a NetNut. A Alarum, dona da NetNut, rejeita o termo “botnet” e diz que seus SDKs apenas “facilitam o compartilhamento de largura de banda”.

Soa familiar? É o clássico “não fui eu” corporativo. Mas a realidade é que milhões de IPs residenciais estão sendo monetizados sem que os donos dos dispositivos tenham real noção do que está acontecendo. E quando o consentimento é mencionado, ele aparece em versões recentes do SDK, mas, segundo a Synthient, nenhum dos mais de 20 editores analisados sequer pediu permissão ao usuário.

O perigo oculto na sua sala: proxies e a porta de entrada para ataques

Por que isso é tão perigoso? Porque um proxy residencial não apenas mascara a origem do tráfego; ele pode ser a porta de entrada para a sua rede local. Especialistas alertam que muitos desses serviços não fazem nenhuma verificação de quem compra o acesso. Como apontou a empresa de rastreamento Spur, qualquer um pode se cadastrar, pagar e rotear tráfego através de endereços IP residenciais – incluindo redes de instituições cujos usuários nunca consentiram. E revendedores terceirizados tornam tudo ainda mais obscuro: basta um e-mail descartável e US$ 5 em criptomoeda para acessar a rede.

Aqui entra um risco que se conecta diretamente com o vazamento de senhas reutilizadas. Imagine o cenário: um invasor compra acesso a um proxy residencial e obtém um IP da sua casa. A partir dali, ele pode tentar acessar outros dispositivos na sua rede – como seu computador pessoal ou celular. Se você reutiliza senhas em vários serviços (e a maioria das pessoas o faz), um único vazamento de senha de um site qualquer pode ser a chave para o criminoso invadir seu e-mail, redes sociais ou até contas bancárias. É o efeito dominó da falta de higiene digital.

Em um artigo que publicamos recentemente, Lições do Vazamento da CISA: Como Blindar Seus Dados, mostramos como credenciais expostas em repositórios públicos podem desencadear acessos não autorizados. O mesmo princípio se aplica aqui: sua rede doméstica sendo usada como trampolim para ataques que exploram senhas fracas ou reutilizadas. A diferença é que, no caso da Popa, você nem precisa ter feito algo errado – o dispositivo já veio comprometido de fábrica.

A escala assustadora: milhões de IPs comprometidos

Chris Formosa, da Black Lotus Labs (divisão da Lumen Technologies), estima que a Popa movimenta entre 1,5 milhão e 2,5 milhões de IPs distintos por dia, usando de 250 a 300 endereços de comando e controle. Já Jérôme Meyer, da Nokia Deepfield, acredita que o número real pode ser muito maior: monitorando apenas 26 dos mais de 359 nós de retransmissão conhecidos, ele viu 750 mil fontes únicas em 24 horas. Proporcionalmente, a botnet pode alcançar mais de 10 milhões de dispositivos.

Essa capilaridade torna a Popa uma das botnets mais perigosas do mercado, justamente porque seus IPs estão espalhados por diversos serviços de proxy revendidos globalmente. É um ecossistema de opacidade que lucra com a sua ignorância.

Raspagem de dados e IA: a fome insaciável que usa sua rede

As grandes empresas de proxy agora se vendem como “infraestrutura crítica para a economia de IA”. A justificativa é que modelos de linguagem precisam raspar a web em busca de textos, imagens e vídeos. Mas essa raspagem é tão agressiva que derruba sites de bibliotecas, universidades e organizações sem fins lucrativos. Mais de 70 processos por violação de direitos autorais já foram movidos contra big techs – e, ironicamente, muito desse tráfego passa por proxies ligados a TV boxes piratas.

A ironia é amarga: você compra um dispositivo para assistir conteúdo ilegal e, em troca, sua rede é usada para alimentar modelos de IA que enriquecem corporações bilionárias. E, de quebra, ainda facilita crimes como fraudes e invasões de contas.

Esse cenário nos remete a outro caso que analisamos: o Bypass no SmartConsole: impacto real nos seus dados corporativos. Lá, mostramos como uma falha de autenticação pode expor dados confidenciais. Aqui, o paralelo é claro: uma vez que seu dispositivo está comprometido, as barreiras de segurança da sua rede ficam frágeis, e credenciais corporativas ou pessoais podem ser capturadas ou usadas em ataques de força bruta.

O que você pode fazer para se proteger

O primeiro passo é parar de comprar TV boxes não oficiais. Dispositivos de marcas desconhecidas, que prometem “todos os canais por um preço único”, são o principal vetor de infecção. Mas se você já tem um desses aparelhos, algumas medidas são urgentes:

• Desconecte o dispositivo da rede ou, pelo menos, isole-o em uma rede separada (VLAN) sem acesso a outros equipamentos.
• Verifique o tráfego de saída do seu roteador: se houver conexões para domínios suspeitos (como os citados na reportagem), bloqueie-os.
• Troque todas as senhas dos serviços que você acessa, especialmente se você reutiliza senhas. Use um gerenciador de senhas e ative a autenticação de dois fatores sempre que possível.
• Monitore seus dados: utilize serviços que alertem sobre vazamentos de credenciais. A Kzarka oferece monitoramento contínuo da sua identidade digital, avisando se seus dados aparecerem em vazamentos ou na dark web.

O caso Popa é um lembrete brutal de que, na era da hiperconectividade, sua privacidade é um produto. E as empresas por trás dessas redes contam com a sua desinformação para continuar lucrando.

FAQ – Perguntas frequentes sobre a botnet Popa e riscos de proxies residenciais

Como saber se minha TV box está infectada pela botnet Popa?

Não há um sintoma óbvio, pois o malware opera em segundo plano. Sinais indiretos incluem consumo elevado de banda, lentidão na rede ou conexões para domínios como gmslb[.]net ou ninjatech[.]io. A melhor prevenção é evitar dispositivos de streaming não oficiais.

O que são proxies residenciais e por que são perigosos?

São serviços que roteiam o tráfego de terceiros através do seu IP doméstico, mascarando a origem real. O perigo está na falta de controle sobre quem usa esse acesso, podendo resultar em invasões à sua rede local, fraudes e até responsabilização legal por atividades criminosas feitas a partir do seu IP.

Reutilizar senhas aumenta o risco nesse tipo de ataque?

Sim. Se um invasor consegue acessar sua rede via proxy, ele pode tentar quebrar senhas de outros dispositivos. Se você reutiliza a mesma senha em vários serviços, um único vazamento pode comprometer todas as suas contas. A recomendação é usar senhas únicas e ativar a verificação em duas etapas.

Não espere ser a próxima vítima. Acesse a Kzarka agora mesmo e descubra se seus dados já vazaram. Monitore sua identidade digital e blinde-se contra as ameaças invisíveis que já podem estar dentro da sua casa.