「Popa」ボットネット、イスラエルの上場企業と関連か

過去4年間、Androidベースのボットネット「Popa」が、広告詐欺、アカウント乗っ取り、大規模データスクレイピングに関連するインターネットトラフィックを中継するために、数百万台の消費者向けTVボックスを悪用していたことが明らかになった。複数のセキュリティ企業の研究者によると、このPopaボットネットは、イスラエルの上場企業Alarum Technologies Ltd(NASDAQ: ALAR)が運営する「住宅用プロキシ」プロバイダーであるNetNutと関連している。Popaは、破壊的な活動(DDoS攻撃など)に侵害されたシステムを悪用する従来のボットネットとは異なり、デバイスの登録、長期的な暗号化接続の維持、オンデマンドでの通信トンネル開設を可能にする永続的な通信レイヤーの実装を唯一の目的としているとみられる。Popaは、非公式のAndroidベースTVボックスを標的とする大規模マルウェアキャンペーン「Vo1d」に関連するプラグインコンポーネントであると専門家は述べている。Popaの起源に関する最初の手がかりは、2025年の中国のセキュリティ会社XLABのレポートにあり、侵害されたデバイスの登録と活動を指示するために使用された少なくとも9つのドメイン名を指摘していた。Qurium社のレポートによると、Popaを制御するために使用された数十のドメインが、gmslb[.]net、safernetwork[.]io、tera-home[.]com、ninjatech[.]ioなど、複数のインターネットアドレスにわたって同期してホストされていた。さらに調査を進めると、gmslb[.]netがCRICFy、DooFlix、Sprozfyなどの多数の海賊版または改造されたビデオコンテンツストリーミングアプリで参照されていることが判明した。Qurium社のレポートは、Popaボットネットを制御するために長年使用されてきたドメインのほとんどが、Google、HUMAN Security、Trend Microが協力してVo1dと密接に関連するボットネット「Badbox 2.0」を妨害した後の2025年7月に押収または解体されたと指摘している。しかし、その直後にPopaボットネットのコントローラーとして機能する数十の新しいドメインが登録されたが、そのうちの1つであるninjatech[.]ioは新しいものではなかった。NinjatechはMoishi Kramer氏によって設立された企業であり、彼のLinkedInプロフィールによると、彼はNetNutの研究開発担当副社長である。Kramer氏は、NetNutが買収される前に、同社の基盤構築、アーキテクチャ設計、およびスケーリングに貢献したと述べている。Kramer氏は、Ninjatechは5年ほど前に事業を停止し、デバイスの帯域幅の一部を使用し、ホストアプリケーションがユーザーの同意を得た後にのみ実行されるように設計された「Popa」というソフトウェア開発キット(SDK)を販売したと述べた。しかし、Synthient社の別のレポートでは、Popa SDKの最近の分析により、NetNutクライアントに関連する送信トラフィックが明らかになり、PopaがNetNutによってプロキシプールの一部として積極的に使用され続けていると結論付けている。Alarum Technologiesは、これらの報告書には「検証された事実ではなく、明白に不正確な主張と誤った推論」が含まれていると主張し、SDKや技術が「ボットネット」であるという基本的な特徴づけを拒否した。一方、Spur社のレポートは、NetNutが顧客がプロキシアクセスを購入する前に法人確認や「顧客確認(KYC)」手続きを要求していないと主張している。Popaボットネットは、毎日平均150万から250万の一意のIPアドレスを扱い、その活動を指示するために使用される250から300のインターネットアドレスに依存していると推定されている。Nokia Deepfieldは、Popaボットネットに参加するデバイスの総数がLumenの推定よりもはるかに多い可能性があると指摘している。専門家によると、多くの大手プロキシプロバイダーは、AIプラットフォームのトレーニングにおける有用性を強調するために、公開されているブランド名を更新しており、住宅用プロキシの主なユースケースとして示唆している。これは、AIサービスが大規模言語モデル(LLM)のトレーニングに使用できる新しいテキスト、画像、ビデオコンテンツを常に大量にスクレイピングすることに依存しているためである。多くのスマートTVアプリには、ユーザーのインターネット接続を使用してデータをダウンロードし、いつでもオプトアウトできると記載されているが、LGスマートTVのwebOSオペレーティングシステムで利用可能なアプリの42%以上、SamsungのTizenオペレーティングシステム向けアプリの4分の1以上には、テレビを常時稼働する住宅用プロキシノードに変える同様の住宅用プロキシコンポーネントが含まれていることが判明した。Rokuなどのプラットフォームは、サードパーティ向けのプロキシサービスを促進するアプリを禁止している。