Android SDK Popa использует устройства для прокси-трафика без согласия пользователей и связан с NetNut

Popa существует как минимум с мая 2020 года, а самый ранний вариант Moneytiser датируется ноябрём 2020-го. SDK распространяется через приложения для потокового видео, IPTV и утилиты, многие из которых связаны с пиратским контентом. Ключевая особенность - ретрансляция трафика запускается сразу после старта основного приложения, без запроса информированного согласия. В версии 2.7.46 разработчики добавили функцию опционального диалога, однако ни один из более чем двадцати проанализированных издателей её не использовал. Это наблюдение ограничено изученной выборкой и не обязательно отражает все сборки Popa.

Synthient обнаружил, что восемнадцать образцов SDK варианта Moneytiser напрямую обмениваются данными с конечными точками NetNut по адресу sdk[.]netnut[.]io. В тех же APK-файлах найдены обращения к домену cyberprotector[.]online. Публичные записи, собранные организацией Qurium Media Foundation, связывают основателя платформы NinjaTech с руководством NetNut. Synthient не проводил независимую верификацию этой связи и ссылается на данные Qurium как на факт из открытых источников.

Ключевым доказательством стал контролируемый тест, проведённый Synthient 17 июня 2026 года. Исследователи направили запрос с путём /NETNUT_EXT_TRAFFIC_FROM_PROXY на шлюз NetNut (gw[.]netnut[.]net:9595). Этот запрос вышел из устройства с запущенным SDK Popa и был зафиксирован на honeypot Synthient. Никакой сторонний трафик в тесте не участвовал. На основании этого Synthient с высокой степенью уверенности оценивает, что как минимум часть устройств с Popa выступает в качестве исходящих узлов для прокси-инфраструктуры NetNut.

Поздние версии Popa используют зашифрованные файлы Google Drive для получения адресов командных серверов. Например, расшифровка одного блока дала адрес nice-protect[.]com. Регистрация устройства происходит через эндпоинты /initreq и /devicereg. Первый решает, стоит ли включать устройство в прокси-пул, второй возвращает список релейных серверов. Для снижения обнаруживаемости SDK поддерживает несколько вариантов: Popa, Loopop, Neupop (написан на C++), а также ранний Moneytiser. Все они разделяют общую инфраструктуру.

NetNut, публичная компания под управлением Alarum Technologies, отвергла выводы Synthient. В ответе на запрос исследователей компания заявила, что управляет легальной коммерческой прокси-сетью, соблюдает процедуры KYC и мониторинга злоупотреблений. NetNut указала, что не может комментировать непубличную информацию по запросам от посторонних лиц, и отвергла предпосылки исследования. Компания призвала к тщательной проверке фактов перед публикацией, оставив за собой право на юридическую защиту.

Для обычных пользователей главная рекомендация - не устанавливать приложения из неподтверждённых источников. Организациям следует блокировать серверы управления и ретрансляции Popa, перечисленные в отчёте, а также усилить мониторинг протокола SOCKS5, который часто используется подобными сетями. Не следует слепо доверять IP-адресам из резидентных диапазонов, так как они могут принадлежать устройствам, вовлечённым в прокси-сеть.

Synthient публикует артефакты исследования для независимой проверки. Выводы являются аналитическим суждением, а не утверждением о внутреннем знании или намерениях NetNut. Полученные данные указывают на масштабную скрытую прокси-сеть, затрагивающую миллионы устройств по всему миру. Предыдущие работы KrebsonSecurity, Qurium Media Foundation и Nokia Deepfield уже затрагивали тему подобных SDK, и отчёт Synthient существенно дополняет картину прямыми доказательствами инфраструктурной связи.

IPv4

• 134.195.196.184
• 134.195.196.245
• 134.195.196.85
• 134.195.198.2
• 134.195.198.52
• 135.125.160.44
• 135.181.116.42
• 135.181.18.95
• 135.181.57.111
• 135.181.61.18
• 135.181.61.24
• 135.181.75.30
• 139.162.174.86
• 141.94.199.151
• 141.94.199.152
• 141.94.29.105
• 141.94.73.20
• 141.95.126.97
• 141.95.33.100
• 141.95.33.108
• 141.95.33.112
• 141.95.33.117
• 141.95.33.143
• 141.95.35.96
• 141.95.35.97
• 141.95.98.156
• 141.95.98.158
• 141.95.98.159
• 141.95.98.164
• 141.95.98.173
• 141.95.98.174
• 141.95.98.175
• 141.95.98.176
• 141.95.98.177
• 141.95.98.71
• 146.59.47.171
• 146.59.54.55
• 146.59.54.8
• 146.59.81.145
• 146.59.81.179
• 146.59.81.182
• 146.59.84.15
• 146.59.85.8
• 148.113.162.52
• 148.113.190.175
• 148.113.220.143
• 148.113.220.152
• 148.113.222.71
• 149.56.29.107
• 15.204.110.196
• 15.204.110.198
• 15.204.110.201
• 15.204.110.204
• 15.235.12.25
• 15.235.222.55
• 15.235.224.157
• 15.235.224.224
• 15.235.228.121
• 15.235.233.16
• 15.235.233.20
• 15.235.53.67
• 15.235.65.66
• 15.235.65.97
• 15.235.67.120
• 15.235.82.174
• 15.235.85.237
• 15.235.85.238
• 15.235.85.93
• 15.235.86.140
• 15.235.9.81
• 157.90.4.34
• 157.90.4.97
• 158.51.120.61
• 158.51.121.121
• 158.51.121.126
• 158.51.121.30
• 158.51.121.39
• 158.51.121.83
• 162.19.139.106
• 162.19.72.85
• 162.19.85.101
• 162.19.88.205
• 162.19.88.213
• 167.17.64.20
• 167.17.64.76
• 167.88.61.114
• 172.105.19.27
• 172.99.188.236
• 172.99.189.20
• 172.99.189.67
• 172.99.189.88
• 186.190.215.121
• 194.195.125.168
• 198.244.165.186
• 198.244.212.119
• 198.57.27.30
• 216.106.189.146
• 216.106.189.33
• 37.27.55.79
• 38.110.1.157
• 38.111.114.193
• 38.114.120.146
• 38.114.120.238
• 38.114.120.39
• 38.114.120.72
• 38.22.17.181
• 38.22.17.205
• 38.22.17.218
• 38.22.17.220
• 38.86.135.91
• 38.89.70.214
• 38.99.82.188
• 38.99.82.9
• 40.160.67.148
• 40.160.67.156
• 51.161.86.9
• 51.178.118.130
• 51.178.118.132
• 51.178.118.134
• 51.178.118.136
• 51.195.24.11
• 51.195.24.3
• 51.195.24.58
• 51.195.24.59
• 51.195.24.6
• 51.195.24.60
• 51.222.152.16
• 51.222.248.165
• 51.77.190.206
• 51.89.11.179
• 51.89.11.180
• 51.89.11.192
• 51.89.11.246
• 54.38.13.215
• 57.128.125.81
• 57.128.192.112
• 57.128.21.87
• 57.128.231.167
• 57.128.231.196
• 57.128.97.134
• 57.129.39.245
• 57.129.39.247
• 57.129.49.77
• 57.129.52.203
• 57.129.54.50
• 57.129.54.85
• 57.129.64.89
• 57.129.96.136
• 65.108.65.50
• 65.108.9.68
• 65.109.26.152
• 65.109.27.93
• 65.109.28.33
• 65.21.226.195
• 66.163.117.114
• 66.163.117.132
• 66.163.119.112
• 66.228.34.25
• 67.220.66.55
• 67.220.70.142
• 67.220.70.43
• 67.220.70.69
• 67.220.70.91
• 67.220.74.119
• 67.220.85.91
• 67.220.94.39
• 67.220.94.47
• 85.90.247.42
• 91.134.20.114

Domain

• byte-armor.com
• byte-buff.com
• cool-horizon.com
• digiproxy.cc
• earth2trust.com
• enigmaproxy.net
• fast-mob.com
• flashproxy.com
• flexible-networks.com
• gmslb.net
• grid-push.com
• gw.rainproxy.io
• gw-flashproxy-eu.netnut.net
• house-spirit.com
• iprocket.io
• link-flux.com
• litics-net.com
• mob-hit.com
• net-echo.com
• nice-protect.com
• ninjatech.io
• nova-lan.com
• novel-layer.com
• noverland.com
• presi-eu.enigmaproxy.net
• proxy.iprocket.io
• pulse-vol.com
• rainproxy.io
• residential.digiproxy.cc
• resi-digiproxy.netnut.net
• s01679.gmslb.net
• s01683.flexible-networks.com
• s01687.gmslb.net
• s01689.grid-push.com
• s01691.novel-layer.com
• s01692.tera-home.com
• s01693.gmslb.net
• s01695.grid-push.com
• s01696.noverland.com
• s01697.gmslb.net
• s01698.gmslb.net
• s01699.nova-lan.com
• s01700.novel-layer.com
• s1.gmslb.net
• s100.gmslb.net
• s1234.gmslb.net
• s1235.gmslb.net
• s1236.gmslb.net
• s1237.gmslb.net
• s1238.gmslb.net
• s1239.gmslb.net
• s1240.gmslb.net
• s1244.gmslb.net
• s1246.gmslb.net
• s1248.gmslb.net
• s1250.gmslb.net
• s1252.gmslb.net
• s1254.gmslb.net
• s1256.gmslb.net
• s1258.gmslb.net
• s1262.gmslb.net
• s1266.gmslb.net
• s1272.gmslb.net
• s1278.gmslb.net
• s1296.net-echo.com
• s1310.gmslb.net
• s1312.gmslb.net
• s1314.noverland.com
• s1314.sdkmob.org
• s1316.fast-mob.com
• s1318.noverland.com
• s1320.gmslb.net
• s1322.gmslb.net
• s1324.gmslb.net
• s1326.gmslb.net
• s1328.gmslb.net
• s1330.sdkmob.org
• s1368.byte-buff.com
• s1372.nice-protect.com
• s1374.grid-push.com
• s1380.swift-zip.com
• s1382.sdkmob.org
• s1386.sdkmob.org
• s1480.byte-buff.com
• s1483.grid-push.com
• s1484.novel-layer.com
• s1487.noverland.com
• s1488.viki-play.com
• s1489.nova-lan.com
• s1491.worker-net.com
• s1503.nice-protect.com
• s1507.worker-net.com
• s1511.net-echo.com
• s1515.link-flux.com
• s1517.viki-play.com
• s1519.tera-home.com
• s1523.swift-zip.com
• s1529.nova-lan.com
• s1539.link-flux.com
• s1541.net-echo.com
• s1549.gmslb.net
• s1573.pulse-vol.com
• s1587.viki-play.com
• s1589.gmslb.net
• s1591.gmslb.net
• s1593.gmslb.net
• s1595.nova-lan.com
• s1597.nova-lan.com
• s1599.gmslb.net
• s1601.grid-push.com
• s1605.viki-play.com
• s1607.link-flux.com
• s1664.link-flux.com
• s1688.tera-home.com
• s1690.nova-lan.com
• s1692.litics-net.com
• s1772.nova-lan.com
• s1820.net-echo.com
• s1822.pulse-vol.com
• s1830.net-echo.com
• s1832.link-flux.com
• s1834.link-flux.com
• s1836.gmslb.net
• s1838.net-echo.com
• s1840.gmslb.net
• s1842.gmslb.net
• s1844.nova-lan.com
• s1846.gmslb.net
• s1848.gmslb.net
• s1850.gmslb.net
• s1851.gmslb.net
• s1852.gmslb.net
• s1854.gmslb.net
• s1856.gmslb.net
• s1858.gmslb.net
• s1860.gmslb.net
• s1861.gmslb.net
• s1862.gmslb.net
• s1863.gmslb.net
• s1864.gmslb.net
• s1865.gmslb.net
• s1866.gmslb.net
• s1868.gmslb.net
• s1870.gmslb.net
• s1872.gmslb.net
• s1874.gmslb.net
• s1876.byte-buff.com
• s1878.nova-lan.com
• s1880.net-echo.com
• s1884.gmslb.net
• s2.net-echo.com
• s205.link-flux.com
• s206.sdkmob.org
• s209.worker-net.com
• s212.nova-lan.com
• s217.fast-mob.com
• s228.nova-lan.com
• s231.worker-net.com
• s232.fast-mob.com
• s242.link-flux.com
• s246.sdkmob.org
• s247.fast-mob.com
• s251.pulse-vol.com
• s256.sky-borders.com
• s269.sdkmob.org
• s34.flexible-networks.com
• s7.nova-lan.com
• s72.byte-buff.com
• s88.fast-mob.com
• sdkmob.org
• shield-sky.com
• sky-borders.com
• star-layer.com
• swift-zip.com
• tera-home.com
• vault-sentinel.com
• viki-play.com
• voltix-net.com
• worker-net.com
• world2trust.com
• yoursfind.com
• zen-tava.com
• zync-stream.com

SHA256

• 0b4c112c98993f01ed761e72c2f82827aa49876034df461c1762e95281876c6b
• 1a92cf241f86584361097d5735948a8170007206db56fe88739c9048767ab862
• 22c860931f2ed22897b81ef8da16980fc24b2573ec884a153b3ff5df9e0f8cff
• 254568375315d86121b74db2eb8bfd8ac6bf192768c6ab5d05ca7e66b8990102
• 2a6f0837007726a1863f2180a9a84a89284dc57e7557857e2a3d1896a69fe6c7
• 2e04dc8bee038a5771373fc4dbaa4e45f653cd649928199e9ce8098c8b27d64e
• 51ead7f0490bfe6b432120bbbd63b807277d016911664fb264640bb8b007d756
• 68022c244a6cc150395ad3bc6648c30de7c1fa7837498ac101a1824e227efa3a
• 69f524815eeb3b2069ff41a8a12cae0537de8ad9bd856d694fa21bb2af8fada8
• 79aec671ceb205db1769da6898c9659c7c8297b13929e593050523438c09a44f
• a29cdca72822c1f236c53c181d03f0c45907a45f2ef3c4c2da3ef839bfd3b7a6
• a806cece4a4fbbe502e6d76035681702d9adde1c6f74c9e1c0547d37d30ddfcf
• af93524fd0aac0a790734a0747fcf844ba5f0652b11a0f4a59bbe5aeace0fa75
• b8b8d41a8a7eccda90b366fb5a3d2c0f692504984429aaa19b0af0dcd81dec03
• bbcc1a208b4bd0a9ffe8799158cd994d82e125acb30b630e774b242f11dd6985
• bf0b36dcbbc60dbf83ecac7c56534271e53a16817909306ecc6f15f7b6106730
• ca5fd64932a82d3e24a19fe94d8b7636847f4335b8fd8795a63cfa0107e67048
• d06b86da3777be0e2156c35f031f503d280a17ee3a1cc531f4c5fb806c0f749b