Son dört yıldır, Popa adı verilen Android tabanlı bir botnet, milyonlarca tüketici TV kutusunu reklam sahtekarlığı, hesap ele geçirme ve toplu veri kazıma çabalarıyla bağlantılı İnternet trafiğini aktarmaya zorladı. Bu hafta, birden fazla güvenlik firmasından araştırmacılar, Popa botnet'inin halka açık İsrail firması Alarum Technologies Ltd [NASDAQ: ALAR] tarafından işletilen bir "konut proxy" sağlayıcısı olan NetNut ile bağlantılı olduğu sonucuna vardı.
Popa çok büyük bir botnet'tir, ancak her bakımdan, güvenliği ihlal edilmiş sistemleri devasa dağıtılmış hizmet reddi saldırılarını koordine etmek gibi yıkıcı faaliyetlere dahil eden geleneksel botnet'lerden farklıdır. Aksine, Popa tek bir amaç için tasarlanmış gibi görünüyor: Bir cihazı kaydetme, uzun ömürlü şifreli bağlantıları sürdürme ve talep üzerine iletişim tünellerini açma kapasitesine sahip kalıcı bir iletişim katmanı uygulamak.
Uzmanlar, Popa'nın, resmi olmayan Android tabanlı TV kutularını hedef alan büyük ölçekli bir kötü amaçlı yazılım kampanyası olan Vo1d botnet'iyle ilişkili bir eklenti bileşeni olduğunu söylüyor. Binlerce marka adı ve model numarası altında pazarlanan ve önde gelen e-ticaret sitelerinde geniş çapta satın alınabilen bu cihazların tümü, peşin bir kerelik ücret karşılığında yüzlerce abonelik video hizmetini yayınlama olanağının reklamını yapıyor.
Ancak FBI ve güvenlik sektörü uzmanlarının defalarca uyardığı gibi, bu yayın kutuları genellikle kullanıcının TV'sini bir "yerleşim proxy'sine" dönüştüren bir yazılımla birlikte gelir veya önceden yüklenmiş olarak gelir; bu, herkesin İnternet trafiğini duvar prizine takılı kaldığı ve yerel bir ağa bağlı kaldığı sürece bu cihaz üzerinden yönlendirmesine olanak tanır. Daha da önemlisi, bu proxy ağlarından bazıları, kötü niyetli müşterilerin, şüphelenmeyen cihaz sahibinin yerel ağındaki sistemlerle iletişim kurmasını ve hatta bu sistemleri tehlikeye atmasını engellemek için çok az şey yapıyor.
Popa'nın kökenlerine ilişkin ilk ipuçları, Çinli güvenlik şirketi XLAB'ın, ele geçirilen cihazların faaliyetlerini kaydetmek ve yönlendirmek için kullanılan en az dokuz alan adını işaretleyen 2025 tarihli bir raporundan geldi. Bugün yayınlanan bir raporda, güvenlik firması Courseum, Mayıs 2026'da şirketin barındırılan kuruluşlarını hedef alan ve kazıma faaliyetinin 1,4 milyondan fazla İnternet adresine eşit olarak dağıldığı bir dizi yıkıcı ve pahalı veri kazıma olayını araştırırken aynı alanlardan bazılarına nasıl rastladığını açıkladı.
Kuryum, Popa'yı kontrol etmek için kullanılan ve gmslb[.]net, securenetwork[.]io, tera-home[.]com ve ninjatech[.]io dahil olmak üzere zaman içinde birden fazla İnternet adresinde aynı anda barındırılan birkaç düzine alan adı bulduğunu söyledi. Daha derine inen Kuryum, gmslb[.]net'e CRICFy, DooFlix, Sprozfy, RTS Tv, Flixoid, CyberFlix, Rapid Streamz, TvMob ve HD/OceanStreams gibi düzinelerce korsan veya değiştirilmiş video içeriği akışı uygulamasında başvurulduğunu keşfetti.
Course'un raporu, Popa botnet'ini kontrol etmek için uzun süredir kullanılan alan adlarının çoğunun, Google, HUMAN Security ve Trend Micro'nun Vo1d ile yakından ilişkili bir botnet olan Badbox 2.0'ı bozmak için bir araya gelmesinin ardından Temmuz 2025'te ele geçirildiğini veya dağıtıldığını belirtiyor. Kuryum, bu kesintinin hemen ardından Popa botnet'inin denetleyicisi olarak hizmet vermek üzere birkaç düzine yeni alan adının kaydedildiğini, ancak bu kontrol alanlarından birinin yeni olmadığını söyledi: ninjatech[.]io.
Ninjatech, LinkedIn profilinde NetNut'ta araştırma ve geliştirmeden sorumlu başkan yardımcısı olduğu belirtilen Moishi Kramer tarafından kurulmuş bir şirkettir. Bu özgeçmişte, Kramer'in, şirket Alarum Technologies tarafından satın alınmadan önce NetNut'un "temelden inşa edilmesine", "mimariyi tasarlamasına" ve "NetNut'u ölçeklendirmesine" yardımcı olduğu için itibar ediliyor. F6S iş ilanı panosunda kendi oluşturduğu bir liste, Kramer'i Ninjatech alanının tek sahibi olarak gösteriyor (bunun ekran görüntüsü aşağıda resmedilmiştir).
E-posta yoluyla yanıt veren Bay Kramer, Ninjatech'in yaklaşık beş yıl önce, şirketin bir cihazın bant genişliğinin küçük bir kısmını kullanmak ve onu yönetmek için tasarlanan Popa adlı bir yazılım geliştirme kitini (SDK) satması üzerine faaliyetlerini durdurduğunu söyledi.
n yalnızca ana bilgisayar uygulaması kullanıcının onayını aldıktan sonra.
Kramer, "Bu kod yıllar önce satıcılar da dahil olmak üzere üçüncü taraflara satıldı ve lisanslandı" dedi. "Yazılım bu şekilde dağıtıldığında, orijinal geliştiricinin başkalarının onu daha sonra nasıl değiştireceği, yeniden markalayacağı veya dağıtacağı üzerinde hiçbir kontrolü olamaz."
Kramer, ne kendisinin ne de NetNut'un Popa olarak tanımlanan altyapıyı inşa etmediğini, işletmediğini veya bakımını yapmadığını ve Ninjatech alanını kontrol etmediğini söyledi.
"Bahsettiğiniz Haziran 2025 alan adlarını ben tescil ettirmedim ve kimin kaydettirdiğini de bilmiyorum" diye devam etti. "Bu altyapı üzerinde hiçbir kontrolüm veya görünürlüğüm yok. Yalnızca bunun benim tarafımdan veya NetNut tarafından işletilmediğini söyleyebilirim."
Ancak bugün yayınlanan ayrı bir Popa araştırma raporunda, proxy izleme şirketi Synthient, Popa SDK'nın yakın zamanda yapılan bir analizinin, NetNut ile açıkça ilişkili giden trafiği ortaya çıkardığını söyledi.
Synthient, "Araştırma ekibi, Popa'yı çalıştıran cihazların Netnut istemcilerinden gelen trafiği ilettiğini yüksek güvenle değerlendiriyor" diye yazdı. "Bu, Popa'nın NetNut tarafından proxy havuzunun bir parçası olarak aktif olarak kullanılmaya devam ettiğini hiçbir şüphe gölgesi olmadan kanıtlıyor."
NetNut'un Tel Aviv merkezli ana şirketi Alarum Technologies, Synthient ve Courseum'un raporlarının "doğrulanmış gerçeklerden ziyade açıkça yanlış iddialar ve kusurlu çıkarımlar" içerdiğini söyledi. Alarum, raporlarda tartışılan SDK'ların ve teknolojilerin temel olarak "botnet" olarak tanımlanmasını reddettiklerini belirten bir açıklama paylaştı.
Açıklamada, "Söz konusu SDK'lar, bant genişliği paylaşım işlevini kolaylaştırmak için tasarlandı ve kullanıcı cihazlarını kötü amaçlı yazılım kontrollü sistemlere dönüştürmüyor veya üzerinde çalıştıkları cihazları başka şekilde tehlikeye atmıyor" deniyor. “Netnut ticari bir proxy ağı işletiyor ve hizmetlerinin yasal ve sorumlu kullanımını teşvik etmek için tasarlanmış politikalar, prosedürler ve teknolojik önlemleri sürdürüyor.”
Alarum, NetNut'un "uygun bildirim ve onay mekanizmalarına büyük önem verdiğini, müşteri durum tespiti yaptığını, potansiyel suiistimalleri izlediğini ve şüpheli veya yetkisiz etkinlikleri tespit edip hafifletmeye yönelik adımlar attığını" söyledi.
Açıklamada şöyle devam edildi: "Bu çalışma yöntemi, NetNut müşterilerine yönelik KYC kontrolleri ve ek durum tespitinin gerçekleştirilmesinin yanı sıra, ağın şüpheli kötüye kullanımının belirlenmesine ve ele alınmasına yardımcı olmak için tasarlanmış çeşitli teknolojik önlemlerin kullanılması da dahil olmak üzere hem dahili prosedürler ve politikalar tarafından desteklenmektedir."
Ancak proxy izleme hizmeti Spur, 8 Haziran'da yayınlanan bir raporda NetNut'un, müşterilerin proxy erişimi satın almasına izin vermeden önce kurumsal doğrulamaya veya anlamlı "müşterinizi tanıyın" prosedürlerine ihtiyaç duymadığını ileri sürdü.
Spur, "Bir birey kaydolabilir, ödeme yapabilir ve trafiği, kullanıcıları hiç katılmayan kurumlara ait alanlar da dahil olmak üzere ortak adres alanı üzerinden yönlendirebilir" diye yazdı. "'Yalnızca doğrulanmış şirketler' iddiası, proxy'leri gerçekte kimin kullandığına ilişkin bir erişim kontrolü değil, yalnızca bant genişliği satıcıları için pazarlamadır."
Spur, "NetNut tek ön kapı da değil" diye devam etti. "Bir dizi alt beyaz etiketleyici ve satıcı, aynı ISP proxy havuzunu kendi markaları altında yeniden paketliyor. Bu satış noktaları genellikle hiçbir KYC gerçekleştirmez, NetNut'un kendisinden daha az inceleme yapar, NetNut en azından potansiyel kullanıcılara bir hesap yöneticisi atayabilir. Nereye bakacağını bilen herkes, bir yazıcı e-posta adresi ve 5 ABD Doları kripto paradan başka bir şeyi olmayan bir satıcı aracılığıyla erişim satın alabilir."
Synthient, Popa'nın en yeni sürümlerinin (üç ay önce) proxy bileşenlerini kurmadan önce kullanıcıdan izin isteme yeteneğini eklemiş olmasına rağmen, Popa'nın tüm çeşitlerinin veya önceki sürümlerinin bu işlevselliği içermediğini buldu.
Sythient, "Analiz edilen 20'den fazla gerçek Popa yayıncısından hiçbirinin kullanıcı izni istediği gözlemlenmedi" diye yazdı.
POPA'NIN YAYGINLIĞI
Chris Formosa, İnternet omurga taşıyıcısı Lumen Technologies'in bir bölümü olan Black Lotus Labs'ın kıdemli baş bilgi güvenliği mühendisidir.
"Popa'yı özellikle tehlikeli kılan şey, kullanımın ne kadar yaygın olduğudur.
d NetNut yeniden satış ve paylaşım içindir" diyen Formosa, diğer birçok proxy hizmetinin kendi uzak proxy ağlarını oluşturmak yerine NetNut proxy'lerini yeniden sattığını açıkladı. "Dolayısıyla bu Popa IP'leri ekosistemin her yerinde tonlarca farklı hizmette görünüyor ve bu da onu şu anda piyasadaki en sorunlu ve tehlikeli proxy botnet'lerinden biri haline getiriyor."
Formosa, Popa botnet'inin her gün ortalama 1,5 ila 2,5 milyon farklı IP adresi kullandığını ve faaliyetlerini yönlendirmek için kullanılan 250 ila 300 İnternet adresine bağlı olduğunu söyledi.
Formosa, "Bu yüzden Popa bu kadar tehlikeli" dedi. "Gördüğümüz en büyük botnet olmayabilir, ancak sektörün her yerine yayılmış durumda ve gücünü oldukça artırıyor."
Formosa, bunun Popa'yı günümüzün en büyük botnet'lerinden biri haline getirdiğini, ancak yakın zamana kadar herkese proxy olarak yeniden sattıkları yaklaşık 10 milyon cihazdan oluşan günlük bir havuz işleten Çin merkezli bir proxy sağlayıcısı olan IPIDEA'nın daha önce övündüğü rakamlarla karşılaştırıldığında sönük kaldığını söyledi. Ocak 2026'da Synthient, çok sayıda yeni büyük DDoS botnet'inin, IPIDEA proxy'leri aracılığıyla şüphelenmeyen TV kutusu sahiplerinin yerel ağlarına tünel açarak ve kullanıcının güvenlik duvarı arkasındaki diğer Android tabanlı cihazlara bulaşarak hızla büyüdüğünü gösteren bir araştırma yayınladı.
IPIDEA, büyük ölçüde korsan akış içeriğini çok sayıda TV kutusu cihazında görüntülemek için kullanılan SDK'lara dayanıyor, ancak hizmetin sayıları, Google ve sektör ortaklarının IPIDEA'nın cihazları ve bunlar üzerinden proxy trafiğini kontrol etmek için kullandığı alan adlarına el koymak için yasal işlem başlattığı Ocak ayından bu yana azaldı.
Nokia Deepfield güvenlik araştırmacısı Jérôme Meyer, Popa botnet'ine katılan cihazların toplam popülasyonunun Lumen'in tahminlerinden çok daha yüksek olabileceğini söyledi. Meyer, KrebsOnSecurity'ye, Nokia'nın botnet için bilinen en az 359 aktarma düğümünden 26'sını izlediğini ve her aktarma düğümünün aynı anda 35.000 ila 60.000 istemciyi yönettiğini tahmin ettiğini söyledi.
Meyer sorulara yanıt olarak, "Aktar düğümü alt kümesinde (26 tanesi) 24 saat içinde 750.000 benzersiz kaynağa bakıyorum" diye yazdı.
Nokia Deepfield bugün,Qurium'un NetNut/Alarum Teknolojilerine atfettiği Vo1d botnet'in Popa eklentisine bağlı bir VPN uygulaması olan RoboVPN hakkında kendi raporunu yayınladı.
PROXİLER VE VERİ KAZIMALARIN SEMBYOZU
Uzmanlar, dünyanın en büyük proxy sağlayıcılarının birçoğunun, yapay zeka platformlarını eğitmeye yönelik faydalarını vurgulamak için halka açık markalamalarını güncellediklerini ve bunun, konut proxy'leri için birincil kullanım durumu olduğunu ima ettiğini söylüyor. Bunun nedeni, AI hizmetlerinin, büyük dil modellerini (LLM'ler) eğitmek için kullanılabilecek yeni metin, görseller ve video içeriği için sürekli olarak İnternet'i toplu olarak kazımaya güvenme eğiliminde olmasıdır.
Include Security'nin akıllı TV uygulamalarındaki proxy SDK'ların yaygınlığını inceleyen bu ayki bir raporunda, "Yapay zeka şirketleri web'den alınan içeriğe güveniyor: ön eğitim, erişim, aracı temellendirme ve arama için" diyor. “Ancak modern web bir veri merkezinden çıkarılamaz. Cloudflare, DataDome, HUMAN ve diğerlerinin yanı sıra bilinen bulut IP'lerinden gelen istekleri kısıtlar veya engeller. Çözüm, konut proxy'leridir. Bir Comcast veya T-Mobile abonesinin bağlantısı üzerinden yönlendirilen bir kazıma işi, hedef siteye ödeme yapan bir konut müşterisine ait bir IP'den ulaşıyor.
Bu aralıksız içerik kazıma, büyük ölçekli veri kazımayı ticari yapay zeka tekliflerinin ardındaki "beyinlerin" ana kaynağı olarak kabul eden büyük teknoloji şirketlerine karşı 70'ten fazla telif hakkı ihlali davasına yol açtı. İronik bir şekilde, bu kazımanın büyük bir kısmı, resmi olmayan Android TV kutularına ve belirtilen amacı korsan içerik yayınlamak olan ilgili SDK'lara yakından bağlı proxy hizmetleri tarafından destekleniyor.
Kazıma faaliyeti o kadar agresif hale geldi ki, hedeflenen web sitelerini sık sık bunaltıyor ve meşru ziyaretçilerin onlara ulaşmasını engelliyor. Bildirilen birçok vakada, kar amacı gütmeyen kuruluşlar, kütüphaneler ve üniversiteler hizmetlerini çevrimiçi tutmak için sürekli mücadele etmekten şikayetçi oldular.
Konut proxy hizmetlerinin arkasına saklanan acımasız veri kazıyan firmalarla karşı karşıyayız.
Açık Erişim Depoları Konfederasyonu (COAR) tarafından geçen yıl gerçekleştirilen bir anket, bazı içerik kazıma botlarının oldukça zararsız olduğunu, diğerlerinin ise arşivlerde ve diğer bilimsel iletişim altyapılarında hizmet kesintilerine giderek daha fazla neden olacak kadar agresif olduğunu ortaya çıkardı. Ankete katılanların yüzde 90'ından fazlası, veri havuzlarının genellikle haftada bir defadan fazla agresif botlarla karşılaştığını ve bunların sıklıkla yavaşlamalara ve hizmet kesintilerine yol açtığını belirtti.
Hakemli akademik dergilerin topluluk tarafından küratörlüğünü yaptığı ücretsiz bir dizin olan Açık Erişim Dergileri Dizini'nin (DOAJ) platform yöneticisi Brendan O'Connell, "Otomatik web kazıma yeni bir şey değil ve 30 yılı aşkın süredir Google gibi arama motorlarının altında yatan temel teknoloji olmuştur" diye yazdı. "Ancak mevcut yatırımcıların desteklediği yapay zeka start-up çılgınlığı, OpenAI ve Google gibi mevcut büyük oyuncuların yanı sıra, artık binlerce iyi finanse edilen şirketin yapay zeka modellerini eğitmek için kendi kazıma araçlarını geliştirip dağıttığı anlamına geliyor."
O KADRANA DOKUNMAYIN!
Amerika Birleşik Devletleri genelinde yerel topluluklar, öncelikle yapay zeka yeteneklerini geliştirmeyi amaçlayan yeni veri merkezlerinin çoğalmasına karşı çıkıyor. Ancak güvenlik uzmanları, genel kamuoyunun, bu onaylanmamış Android TV kutularından birini kullanmanın, "akıllı TV"nin modern yapay zeka modellerini eğitmeye yardımcı olmak için her ay önemli miktarda bant genişliği kullandığı anlamına geldiğinin büyük ölçüde farkında olmadığını söylüyor.
Bu kabataslak TV kutularına sahip olmayan haneler bile, yalnızca Samsung ve LG akıllı TV'lerde sunulan binlerce uygulamadan birini indirerek akıllı TV'lerini konut proxy düğümlerine dönüştürebilir. Spur, yakın zamanda LG ve Samsung uygulama mağazalarını araştırdığını ve her birinde indirilebilecek yaklaşık 3.000 uygulamanın bulunduğunu tespit ettiğini söyledi. Bu uygulamaların çoğu, kullanıcının İnternet bağlantısının veri indirmek için kullanılacağını ve istedikleri zaman bu seçeneği devre dışı bırakabileceklerini ayrıntılı olarak belirten basit oyunlar veya yardımcı programlardır.
Spur, LG akıllı TV'lerde webOS işletim sistemi aracılığıyla indirilebilen uygulamaların yüzde 42'sinden fazlasının, kişinin televizyonunu her zaman açık olan bir konut proxy düğümüne dönüştüren SDK'lar içerdiğini tespit ettiğini söyledi. Spur, Samsung'un Tizen işletim sistemi için yapılan uygulamaların dörtte birinden fazlasının benzer konut proxy bileşenlerine sahip olduğunu buldu.
Uzmanlar, proxy SDK'lı TV uygulamalarının, her zaman açık proxy bağlantısı kurmak için kullanıcılardan anlamlı bir onay alıp alamayacağının şüpheli olduğunu söylüyor; özellikle de evdeki herhangi biri (çocuklar dahil) yalnızca basit bir oyun veya uygulama yükleyerek aile TV'sini evdeki proxy ağına etkili bir şekilde seçebiliyorsa.
Include Security, "Gizlilik politikasının ifşa edilmesi bir TV için yanlış kontrol yüzeyidir" diye yazdı. "Uzaktan kumandadaki ok tuşlarıyla yönlendirilen yasal bir belgede gezinmek zor ve uygulama içi onay iletişim kutusu, ödeme yapan bir müşterinin kazıma trafiğini kullanıcının ev interneti üzerinden yönlendirmek üzere olduğunu aktarmıyor."
Spur'un araştırma başkanı Sean Simmons, KrebsOnSecurity'ye, çoğu insanın, hangi cihazı kullanıyor olursa olsun, konut IP adreslerine erişim satmanın ne anlama geldiğine dair çalışan bir zihinsel modele sahip olmadığını söyledi.
Simmons, "Ve televizyonda bu fark daha da geniş" dedi. "Uzaktan kumandayla yönlendirilen tek seferlik bir istem kurulum akışında kaybolabilir, bu arada uygulama, herkes neyi kabul ettiğini hatırladıktan çok sonra bile bağlantıdan para kazanmaya devam edebilir."
Simmons, Amazon'un üçüncü taraflar için proxy hizmetlerini kolaylaştıran uygulamaları yasaklayan politikalarına işaret ederek, LG ve Samsung'un halihazırda konut proxy sağlayıcılarına karşı bir çizgi çizmiş olan diğer TV platformlarının izinden gitmesi gerektiğini söyledi. Benzer şekilde, TV yayın cihazı üreticisi Roku'nun artık geliştiricilerin proxy SDK'larını kullanmasını yasakladığı ve bunları bir araya getiren uygulamaları kaldırdığı bildiriliyor.
Bir kişinin cihazını bir konut proxy düğümüne dönüştüren uygulamalar elbette akıllı TV'ler ve isimsiz yayın kutuları ile sınırlı değildir. S tarafından belirtildiği gibi
Güvenlik firması Infoblox'a göre, mobil uygulama geliştiricileri, yazılımlarından para kazanmak için konut proxy ağları tarafından sağlanan SDK'ları ürünlerine yerleştirebiliyor ve böylece her kurulumda küçük bir miktar para almalarına olanak tanıyor.
Infoblox'a göre sonuç, cihazların genellikle sahibinin bilgisi olmadan, genellikle VPN'ler, akış uygulamaları, ekran koruyucular gibi ücretsiz uygulamalar ve PDF görüntüleyiciler ve mola hatırlatıcıları gibi "üretkenlik" uygulamaları aracılığıyla kaydedilmesidir.
Infoblox'un tespitine göre, bu proxy hizmetleri çoğu zaman işyerine getirilen çalışan cihazlarından sinyal veriyor. Bu ayın başlarında yayınlanan bir blog yazısında Infoblox, müşteri tabanının tam olarak %65'inin bir veya daha fazla konut proxy ile ilgili alanı sorguladığını keşfettiğini söyledi.
Infoblox, "2025 yılında bu sorgularda istikrarlı bir büyüme gördük ve yıl içinde %25 artışla ayda 500 milyarın üzerine çıktık" diye yazdı. "İlaç ve yiyecek-içecek müşterilerimizin %90'ından fazlası konut temsili göstergelerini sorguladı. Belki daha da endişe verici olanı, devlet ve bankacılık müşterilerinin %60'ından fazlasının da sorgulamış olmasıdır."
Infoblox araştırmacıları Nick Sundvall ve David Brunsdon, kurumsal ortamda yerleşik proxy'ler sayesinde bir kuruluşun IP alanına harici erişim izni verildiği konusunda uyardı.
"Tehdit aktörleri üçüncü bir tarafa saldırmak için konut vekilini kötüye kullanırsa, üçüncü tarafın olaya müdahalesi, ikamet vekilinizi kaynak olarak doğru bir şekilde tanımlayacaktır" diye yazdılar. "Tehdit aktörü değil, kanal olduğunuzu kanıtlayarak bu karışıklığı çözmek, zaman kaybına neden olur, hukuki açıdan maruziyet yaratır ve itibarınıza zarar verebilir. Bu hizmetlerin müşteri ortamlarındaki şaşırtıcı yaygınlığı, hem ağ savunucularının hem de yerleşik proxy'lerin oluşturduğu risklerin güvenlik duruşlarını nasıl etkileyebileceğini dikkate alması gereken politika yapıcıların dikkatini garanti eder."
