Dört yıldır faaliyet gösteren Popa adlı Android tabanlı botnet, milyonlarca tüketici TV kutusunu ele geçirerek internet trafiğini reklam dolandırıcılığı, hesap ele geçirme ve kitlesel veri sıyırma amaçlı yönlendiriyor. Bu hafta birden fazla güvenlik firmasından araştırmacılar, Popa botnetinin halka açık İsrail şirketi Alarum Technologies Ltd [NASDAQ: ALAR] tarafından işletilen NetNut adlı 'konut vekili' sağlayıcısıyla bağlantılı olduğu sonucuna vardı.
Popa, geleneksel botnetlerden farklı olarak yıkıcı DDoS saldırıları yerine, cihazları kaydedip uzun süreli şifreli bağlantılar kurarak talep üzerine iletişim tünelleri açmaya odaklanıyor. Uzmanlar, Popa'nın Vo1d botnetiyle ilişkili bir eklenti bileşeni olduğunu ve resmi olmayan Android TV kutularını hedef aldığını belirtiyor. Bu cihazlar, yüzlerce ücretli yayın hizmetini tek seferlik ödemeyle sunma vaadiyle e-ticaret sitelerinde satılıyor.
Popa'nın kökenine dair ilk ipuçları, Çinli güvenlik şirketi XLAB'ın 2025 raporunda ortaya çıktı. Rapor, ele geçirilen cihazları yönetmek için kullanılan en az dokuz alan adını işaret ediyordu. Qurium güvenlik firması, Mayıs 2026'da yaşanan veri sıyırma olaylarını incelerken aynı alan adlarından bazılarına rastladı ve Popa'yı kontrol eden düzinelerce alan adının gmslb[.]net, safernetwork[.]io gibi siteler olduğunu tespit etti.
NetNut'un araştırma ve geliştirmeden sorumlu başkan yardımcısı Moishi Kramer, Ninjatech'in beş yıl önce kapandığını ve Popa SDK'sını üçüncü taraflara sattıklarını söyledi. Ancak Synthient firmasının analizi, Popa çalıştıran cihazların NetNut müşterilerinden gelen trafiği yönlendirdiğini kanıtladı. Alarum Technologies ise suçlamaları reddederek SDK'ların bant genişliği paylaşımı için tasarlandığını ve botnet olmadığını iddia etti.
