Исследовательская компания Synthient выпустила детальный отчёт, в котором описала работу Android-пакета разработки под названием Popa. Этот SDK встраивается в сторонние приложения и без ведома владельцев превращает их смартфоны, планшеты и телевизионные приставки в узлы коммерческой резидентной прокси-сети. Согласно отчёту Synthient, Popa напрямую связан с провайдером прокси-услуг NetNut, что подтверждается несколькими независимыми линиями доказательств.
Описание
Popa существует как минимум с мая 2020 года, а самый ранний вариант Moneytiser датируется ноябрём 2020-го. SDK распространяется через приложения для потокового видео, IPTV и утилиты, многие из которых связаны с пиратским контентом. Ключевая особенность - ретрансляция трафика запускается сразу после старта основного приложения, без запроса информированного согласия. В версии 2.7.46 разработчики добавили функцию опционального диалога, однако ни один из более чем двадцати проанализированных издателей её не использовал. Это наблюдение ограничено изученной выборкой и не обязательно отражает все сборки Popa.
Synthient обнаружил, что восемнадцать образцов SDK варианта Moneytiser напрямую обмениваются данными с конечными точками NetNut по адресу sdk[.]netnut[.]io. В тех же APK-файлах найдены обращения к домену cyberprotector[.]online. Публичные записи, собранные организацией Qurium Media Foundation, связывают основателя платформы NinjaTech с руководством NetNut. Synthient не проводил независимую верификацию этой связи и ссылается на данные Qurium как на факт из открытых источников.
Ключевым доказательством стал контролируемый тест, проведённый Synthient 17 июня 2026 года. Исследователи направили запрос с путём /NETNUT_EXT_TRAFFIC_FROM_PROXY на шлюз NetNut (gw[.]netnut[.]net:9595). Этот запрос вышел из устройства с запущенным SDK Popa и был зафиксирован на honeypot Synthient. Никакой сторонний трафик в тесте не участвовал. На основании этого Synthient с высокой степенью уверенности оценивает, что как минимум часть устройств с Popa выступает в качестве исходящих узлов для прокси-инфраструктуры NetNut.
Поздние версии Popa используют зашифрованные файлы Google Drive для получения адресов командных серверов. Например, расшифровка одного блока дала адрес nice-protect[.]com. Регистрация устройства происходит через эндпоинты /initreq и /devicereg. Первый решает, стоит ли включать устройство в прокси-пул, второй возвращает список релейных серверов. Для снижения обнаруживаемости SDK поддерживает несколько вариантов: Popa, Loopop, Neupop (написан на C++), а также ранний Moneytiser. Все они разделяют общую инфраструктуру.
NetNut, публичная компания под управлением Alarum Technologies, отвергла выводы Synthient. В ответе на запрос исследователей компания заявила, что управляет легальной коммерческой прокси-сетью, соблюдает процедуры KYC и мониторинга злоупотреблений. NetNut указала, что не может комментировать непубличную информацию по запросам от посторонних лиц, и отвергла предпосылки исследования. Компания призвала к тщательной проверке фактов перед публикацией, оставив за собой право на юридическую защиту.
Для обычных пользователей главная рекомендация - не устанавливать приложения из неподтверждённых источников. Организациям следует блокировать серверы управления и ретрансляции Popa, перечисленные в отчёте, а также усилить мониторинг протокола SOCKS5, который часто используется подобными сетями. Не следует слепо доверять IP-адресам из резидентных диапазонов, так как они могут принадлежать устройствам, вовлечённым в прокси-сеть.
Synthient публикует артефакты исследования для независимой проверки. Выводы являются аналитическим суждением, а не утверждением о внутреннем знании или намерениях NetNut. Полученные данные указывают на масштабную скрытую прокси-сеть, затрагивающую миллионы устройств по всему миру. Предыдущие работы KrebsonSecurity, Qurium Media Foundation и Nokia Deepfield уже затрагивали тему подобных SDK, и отчёт Synthient существенно дополняет картину прямыми доказательствами инфраструктурной связи.
Индикаторы компрометации
