FBI Bongkar Jaringan Botnet Popa, Bajak Dua Juta Perangkat

Sebuah operasi gabungan antara aparat penegak hukum Amerika Serikat dan tim peneliti keamanan siber dari perusahaan swasta berhasil membongkar jaringan proxy perumahan raksasa. Jaringan ini ternyata telah membajak jutaan perangkat elektronik milik konsumen biasa dan mengubahnya menjadi alat untuk menjalankan kejahatan siber.

Operasi ini dipimpin langsung oleh FBI dan Google Threat Intelligence Group. Target utama mereka adalah NetNut, sebuah layanan proxy komersial yang selama ini dilacak oleh para peneliti keamanan sebagai botnet Popa.

Berdasarkan temuan Google, jaringan ini telah membajak lebih dari dua juta perangkat di seluruh dunia. Caranya? Mereka membelokkan lalu lintas internet melalui koneksi rumah warga biasa tanpa sepengetahuan pemiliknya.

Bagaimana Botnet Popa Menyusup?

Botnet Popa menggunakan Software Development Kit (SDK) berbahaya. SDK ini diam-diam dimasukkan ke dalam perangkat berbasis Android yang murah. Perangkat yang paling sering menjadi sasaran adalah Smart TV, streaming box, dan aplikasi pihak ketiga ilegal seperti SmartTube.

Begitu perangkat tersebut terhubung ke internet, mereka secara otomatis berubah menjadi proxy exit points. Pengguna tidak diberi tahu sama sekali. Tidak ada peringatan. Tidak ada izin.

Dengan cara ini, para penjahat siber bisa mengirimkan lalu lintas data jahat mereka. Data itu seolah-olah berasal dari alamat IP rumah yang sah. Taktik ini sangat efektif untuk mengelabui sistem keamanan. Sistem keamanan tidak akan memblokir aktivitas yang tampak normal.

Dampaknya sangat serius. Google melaporkan bahwa dalam satu minggu di bulan Juni 2026, setidaknya ada 316 kelompok ancaman siber (threat clusters) yang menggunakan jaringan NetNut. Mereka memanfaatkannya untuk berbagai kejahatan: pembobolan kata sandi, pencurian kredensial, penipuan iklan, hingga pengerukan data sensitif (data scraping).

Keterlibatan Perusahaan Publik Israel

Yang membuat NetNut berbeda dari botnet bawah tanah lainnya adalah hubungannya dengan perusahaan publik. Jurnalis keamanan siber, Brian Krebs, melaporkan bahwa jaringan ini terhubung dengan Alarum Technologies Ltd, sebuah perusahaan terbuka asal Israel yang terdaftar di bursa saham Nasdaq.

Riset dari berbagai firma keamanan seperti Qurium dan Synthient menemukan hubungan langsung antara jajaran pimpinan eksekutif Alarum dengan para pengembang perangkat lunak SDK Popa.

Selama ini, Alarum mempromosikan platform mereka sebagai layanan berbagi bandwidth. Namun, tinjauan teknis independen membuktikan bahwa pengguna tidak diberi tahu secara transparan. Mereka juga tidak dimintai izin sebelum perangkat mereka dibajak.

Menanggapi penyitaan domain yang terkait dengan NetNut, Alarum Technologies langsung merilis pernyataan.

"Alarum menanggapi masalah ini dengan serius dan akan sepenuhnya bekerja sama dengan penegak hukum untuk memastikan setiap penyalahgunaan infrastruktur diselidiki secara menyeluruh, dan mereka yang bertanggung jawab akan dimintai pertanggungjawaban," tulis mereka dalam pernyataannya.

Google tidak secara langsung menyebut tautan korporat tersebut. Namun, mereka membongkar model bisnis di balik layar. NetNut menjalankan sistem reseller. Sistem ini memungkinkan perusahaan lain untuk melakukan pelabelan ulang dan menjual akses ke infrastruktur yang sama. Tim Google meyakini bahwa banyak merek proxy perumahan populer di pasaran sebenarnya diam-diam menumpang di atas tulang punggung botnet NetNut.

Langkah Pembersihan

Dalam operasi pembersihan ini, pihak berwenang menyita ratusan domain yang terhubung dengan layanan tersebut. Google mengambil langkah teknis dengan menonaktifkan akun-akun yang digunakan untuk komando dan kontrol (command-and-control/C2). Mereka juga merilis pembaruan Google Play Protect. Aplikasi yang ketahuan memuat SDK berbahaya itu langsung diblokir.

"Kami yakin tindakan terkoordinasi ini telah menyebabkan degradasi yang signifikan pada jaringan proxy NetNut dan operasi bisnisnya, memangkas ketersediaan jutaan perangkat bagi operator proxy," tegas pihak Google.

Operasi ini menunjukkan betapa rentannya perangkat elektronik sehari-hari terhadap pembajakan. Smart TV murah atau streaming box ilegal bisa menjadi pintu masuk bagi jaringan kejahatan siber. Pengguna sering tidak sadar bahwa perangkat mereka telah menjadi bagian dari botnet raksasa. Kasus ini juga mengungkap bagaimana perusahaan publik bisa terlibat dalam praktik yang merugikan konsumen, meskipun mereka mengklaim sebagai penyedia layanan yang sah.