Google disrupts IPIDEA residential proxy networks fueled by malware

Perturbation du réseau de proxys résidentiels IPIDEA

Une opération menée par Google Threat Intelligence Group (GTIG) et des partenaires de l’industrie a permis de perturber IPIDEA, l’un des plus grands réseaux de proxys résidentiels utilisés par des acteurs malveillants. Ces réseaux acheminent le trafic via des adresses IP d’utilisateurs domestiques ou de petites entreprises après avoir compromis leurs appareils.

Points clés :

• IPIDEA se présentait comme un service VPN, mais infectait secrètement les appareils des utilisateurs via des applications malveillantes (SDK) pour les transformer en nœuds de sortie de proxy.
• Plus de 6,7 millions d’utilisateurs auraient été concernés.
• Le réseau était utilisé par plus de 550 groupes de menaces distincts dans une seule semaine, provenant notamment de Chine, d’Iran, de Russie et de Corée du Nord.
• Les activités malveillantes incluaient des prises de contrôle de comptes, la création de faux comptes, le vol d’informations d’identification, l’exfiltration de données, des attaques par pulvérisation de mots de passe, le contrôle de botnets et l’obfuscation d’infrastructure.
• IPIDEA était lié à des botnets majeurs tels qu’Aisuru et Kimwolf.
• Les opérateurs d’IPIDEA dirigeaient au moins 19 entreprises de proxys résidentiels qui se faisaient passer pour des services légitimes, vendant l’accès à des appareils compromis par le malware BadBox 2.0.
• Plus de 600 applications Android et plus de 3 000 binaires Windows infectés ont été identifiés.
• L’infrastructure d’IPIDEA reposait sur un système de commande et de contrôle à deux niveaux.

Vulnérabilités et menaces :

• Utilisation de proxys résidentiels par des acteurs malveillants : Permet de masquer les activités illégales (prises de contrôle de comptes, création de faux comptes, vol d’informations, exfiltration de données, attaques DDoS, etc.).
• Infection par des applications et logiciels trojanisés : Des applications se faisant passer pour des utilitaires ou des services VPN/proxy intègrent des SDK malveillants pour compromettre les appareils.
• Absence de consentement des utilisateurs : Les utilisateurs n’étaient pas conscients que leurs appareils étaient utilisés comme nœuds de proxy.

Recommandations :

• Les utilisateurs doivent être prudents vis-à-vis des applications qui proposent des récompenses financières en échange de bande passante.
• Il est conseillé de se méfier des applications VPN et proxy gratuites provenant d’éditeurs non réputés.
• Google Play Protect détecte et bloque désormais les applications contenant des SDK liés à IPIDEA sur les appareils Android à jour.

Source