El auge de las botnets de proxys residenciales
Durante los últimos cuatro años, una sofisticada botnet basada en Android denominada Popa ha operado en las sombras, convirtiendo millones de dispositivos de streaming y televisores inteligentes en nodos de retransmisión de tráfico de internet. Recientes investigaciones de firmas de ciberseguridad han vinculado esta infraestructura con NetNut, un proveedor de «proxys residenciales» operado por la empresa israelí Alarum Technologies.
A diferencia de las botnets tradicionales diseñadas para ataques de denegación de servicio (DDoS) destructivos, Popa tiene un propósito más sutil pero igualmente alarmante: establecer una capa de comunicación persistente que permite a terceros enrutar su tráfico a través de las conexiones domésticas y empresariales de usuarios desprevenidos.
¿Cómo funciona la botnet Popa?
Popa actúa como un componente o plugin asociado a la botnet Vo1d, que infecta dispositivos Android TV no oficiales. Estos dispositivos, a menudo vendidos a precios bajos con la promesa de acceso gratuito a servicios de suscripción, vienen preinstalados con software malicioso. Una vez conectados a la red, el dispositivo se convierte en un proxy residencial.
Desde una perspectiva técnica, esto significa que cualquier cliente de la red de proxys puede realizar actividades —desde fraude publicitario hasta el robo de cuentas o scraping masivo de datos— utilizando la dirección IP del usuario legítimo. Para el servidor de destino, el tráfico parece provenir de un hogar real, lo que dificulta enormemente la detección y el bloqueo de actividades maliciosas.
El vínculo con la Inteligencia Artificial y el scraping de datos
El informe destaca una simbiosis preocupante entre estas redes de proxys y la economía de la Inteligencia Artificial. Las empresas de IA requieren volúmenes masivos de datos para entrenar sus modelos de lenguaje (LLM). Dado que muchos sitios web bloquean el acceso desde centros de datos conocidos, los desarrolladores de herramientas de scraping recurren a proxys residenciales para evadir estas protecciones.
Esta actividad es tan agresiva que, en muchos casos, llega a saturar los sitios web objetivo, afectando la disponibilidad de servicios para usuarios legítimos y organizaciones sin fines de lucro.
Riesgos para el entorno corporativo
El problema no se limita a dispositivos de origen dudoso. Investigaciones de firmas como Spur indican que más del 42% de las aplicaciones en el sistema webOS de LG y el 25% en Tizen de Samsung incluyen kits de desarrollo de software (SDK) que pueden convertir el televisor en un nodo de proxy residencial. A menudo, el consentimiento del usuario se oculta en políticas de privacidad farragosas que nadie lee.
Para las empresas, el riesgo es doble:
- Exposición de la infraestructura: Si un empleado utiliza un dispositivo infectado o una aplicación con estos SDK en la red corporativa, actores externos ganan acceso al espacio de direcciones IP de la organización.
- Riesgo reputacional y legal: Si la IP de su empresa se utiliza para atacar a un tercero, su organización será identificada como la fuente del ataque, lo que conlleva investigaciones costosas y daños a la reputación.
Recomendaciones de Intedya
En el panorama actual de amenazas, la visibilidad de los dispositivos conectados es fundamental. Desde Intedya recomendamos a las organizaciones:
- Políticas de dispositivos estrictas: Limitar el uso de dispositivos de streaming no autorizados en redes corporativas.
- Segmentación de red: Asegurar que los dispositivos IoT (como Smart TVs en salas de juntas) estén en redes aisladas de los activos críticos de la empresa.
- Auditoría de aplicaciones: Revisar las aplicaciones instaladas en dispositivos móviles y televisores corporativos, evitando aquellas de desarrolladores desconocidos o que ofrezcan servicios «gratuitos» sospechosos.
- Monitoreo de tráfico DNS: Implementar soluciones que identifiquen consultas a dominios asociados con redes de proxys residenciales conocidos.
La ciberseguridad ya no se limita al ordenador o al servidor; cualquier dispositivo con conexión a internet es un vector potencial que puede comprometer la integridad de su infraestructura digital.
Fuentes
- Krebs on Security — ‘Popa’ Botnet Linked to Publicly-Traded Israeli Firm
https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/