Η Google ανακοίνωσε ότι μαζί με άλλες εταιρείες κατάφεραν να “χτυπήσουν” το IPIDEA, το οποίο περιγράφεται ως ένα από τα μεγαλύτερα residential proxy networks.
Η εταιρεία προχώρησε σε νομικές ενέργειες για να καταργήσει δεκάδες domains που χρησιμοποιούνταν για τον έλεγχο συσκευών και traffic proxying. Ο ιστότοπος του IPIDEA δεν είναι πλέον προσβάσιμος. Ισχυριζόταν ότι ήταν ο “κορυφαίος πάροχος IP proxy στον κόσμο” με πάνω από 6,1 εκατομμύρια daily διευθύνσεις IP και 69.000 νέες διευθύνσεις IP καθημερινά.
“Τα Residential proxy networks έχουν γίνει ένα πανταχού παρόν εργαλείο για τα πάντα, από την υψηλού επιπέδου κατασκοπεία μέχρι μαζικά εγκληματικά σχέδια“, δήλωσε ο John Hultquist, κύριος αναλυτής της Google Threat Intelligence Group (GTIG). “Με την δρομολόγηση του traffic μέσω του home internet connection ενός ατόμου, οι επιτιθέμενοι μπορούν να κρύβονται σε κοινή θέα ενώ διεισδύουν σε εταιρικά περιβάλλοντα. Με την κατάργηση της υποδομής που χρησιμοποιήθηκε για τη λειτουργία του δικτύου IPIDEA, έχουμε ουσιαστικά τραβήξει το χαλί κάτω από μια παγκόσμια αγορά που πωλούσε πρόσβαση σε εκατομμύρια καταληφθείσες καταναλωτικές συσκευές“.
Δείτε επίσης: Οι εγκληματίες καταλαμβάνουν και μεταπωλούν υποδομές AI
Εκμετάλλευση από hackers και κακόβουλες δραστηριότητες
Η Google σημείωσε ότι, μόνο αυτόν τον μήνα, η υποδομή proxy του IPIDEA χρησιμοποιήθηκε από πάνω από 550 μεμονωμένες ομάδες απειλών με διάφορα κίνητρα (ομάδες κυβερνοεγκλήματος, κατασκοπείας και APTs), από χώρες όπως η Κίνα, η Βόρεια Κορέα, το Ιράν και η Ρωσία.
Οι κακόβουλες δραστηριότητες περιλάμβαναν πρόσβαση σε περιβάλλοντα SaaS των θυμάτων, υποδομές on-premises και password spray attacks.
Σε ανάλυση που δημοσιεύθηκε νωρίτερα αυτόν τον μήνα, η Synthient αποκάλυψε ότι οι απειλητικοί παράγοντες πίσω από το botnet AISURU/Kimwolf εκμεταλλεύονταν ευπάθειες ασφαλείας σε residential proxy υπηρεσίες, όπως το IPIDEA. Στόχος τους ήταν να μεταδώσουν κακόβουλες εντολές σε ευάλωτες συσκευές Internet of Things (IoT) πίσω από τείχη προστασίας εντός τοπικών δικτύων (για διάδοση κακόβουλου λογισμικού).
Το κακόβουλο λογισμικό που μετατρέπει τις καταναλωτικές συσκευές σε proxy endpoints κρύβεται μέσα σε εφαρμογές και παιχνίδια που είναι προεγκατεστημένα σε μη επώνυμα Android TV streaming boxes. Ως αποτέλεσμα, οι μολυσμένες συσκευές αναμεταδίδουν κακόβουλο traffic και συμμετέχουν σε επιθέσεις DDoS.
Ενώ τα residential proxy networks επιτρέπουν τη δρομολόγηση traffic μέσω διευθύνσεων IP που ανήκουν σε παρόχους υπηρεσιών διαδικτύου (ISPs), παρέχουν επίσης κάλυψη για κακόβουλους παράγοντες που επιδιώκουν να αποκρύψουν την προέλευση των κακόβουλων δραστηριοτήτων τους. “Για να το κάνουν αυτό, οι διαχειριστές residential proxy network χρειάζονται κώδικα που εκτελείται σε καταναλωτικές συσκευές για να τις εγγράψουν στο δίκτυο ως κόμβους εξόδου“, εξήγησε η GTIG.
Δείτε επίσης: eScan: Παραβιασμένος update server προώθησε κακόβουλη ενημέρωση
“Αυτές οι συσκευές είτε είναι προφορτωμένες με λογισμικό proxy είτε συνδέονται στο δίκτυο proxy όταν οι χρήστες κατεβάζουν εν αγνοία τους εφαρμογές με ενσωματωμένο κώδικα proxy. Ορισμένοι χρήστες μπορεί να εγκαταστήσουν εν γνώσει τους αυτό το λογισμικό στις συσκευές τους, επειδή τους έχουν υποσχεθεί ‘monetizing’ του spare bandwidth τους“.
Residential proxy networks: Το IPIDEA βοηθούσε κακόβουλες δραστηριότητες
Η ομάδα απειλών της Google δήλωσε ότι το IPIDEA έχει γίνει διαβόητο για τη διευκόλυνση λειτουργίας αρκετών botnets, συμπεριλαμβανομένου του BADBOX 2.0 που εδρεύει στην Κίνα.
Τον Ιούλιο του 2025, η Google κατέθεσε αγωγή κατά 25 ανώνυμων ατόμων ή οντοτήτων στην Κίνα για φερόμενη λειτουργία του botnet και της σχετικής residential proxy υποδομής. Επίσης, επισημάνθηκε ότι οι εφαρμογές proxy από το IPIDEA όχι μόνο δρομολογούσαν το traffic μέσω της συσκευής exit node αλλά και έστελναν traffic στη συσκευή με στόχο να την παραβιάσουν, θέτοντας σοβαρούς κινδύνους για τους καταναλωτές των οποίων οι συσκευές μπορεί να είχαν ενταχθεί στο δίκτυο proxy, είτε εν γνώσει είτε εν αγνοία τους.
Το δίκτυο proxy που τροφοδοτούσε το IPIDEA ήταν μια συλλογή από πολλές γνωστές μάρκες residential proxy:
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
- Ipidea (ipidea[.]io)
- 360 Proxy (360proxy[.]com)
- 922 Proxy (922proxy[.]com)
- ABC Proxy (abcproxy[.]com)
- Cherry Proxy (cherryproxy[.]com)
- Door VPN (doorvpn[.]com)
- Galleon VPN (galleonvpn[.]com)
- IP 2 World (ip2world[.]com)
- Luna Proxy (lunaproxy[.]com)
- PIA S5 Proxy (piaproxy[.]com)
- PY Proxy (pyproxy[.]com)
- Radish VPN (radishvpn[.]com)
- Tab Proxy (tabproxy[.]com)
«Οι ίδιοι παράγοντες που ελέγχουν αυτά τα brands ελέγχουν επίσης διάφορα domains που σχετίζονται με τα Software Development Kits (SDKs) για residential proxies», δήλωσε η Google. «Αυτά τα SDK δεν προορίζονται για εγκατάσταση ή εκτέλεση ως αυτόνομες εφαρμογές, αλλά προορίζονται για ενσωμάτωση σε υπάρχουσες εφαρμογές».
Δείτε επίσης: SolarWinds: Κρίσιμες ευπάθειες RCE στο Web Help Desk
Αυτά τα SDK διατίθενται στην αγορά σε τρίτους προγραμματιστές, ως ένας τρόπος για να δημιουργήσουν έσοδα από τις εφαρμογές Android, Windows, iOS και WebOS. Οι προγραμματιστές που ενσωματώνουν τα SDK στις εφαρμογές τους πληρώνονται από την IPIDEA ανά λήψη. Αυτό, με τη σειρά του, μετατρέπει μια συσκευή που εγκαθιστά αυτές τις εφαρμογές σε κόμβο για το δίκτυο proxy. Τα ονόματα των SDK που ελέγχονται από τους διαχειριστές του IPIDEA παρατίθενται παρακάτω:
- Castar SDK (castarsdk[.]com)
- Earn SDK (earnsdk[.]io)
- Hex SDK (hexsdk[.]com)
- Packet SDK (packetsdk[.]com)
Τα SDK έχουν σημαντικές ομοιότητες στην υποδομή εντολών και ελέγχου (C2) και στη δομή κώδικα. Ακολουθούν ένα σύστημα C2 δύο επιπέδων όπου οι μολυσμένες συσκευές επικοινωνούν με έναν διακομιστή Tier One για να ανακτήσουν ένα σύνολο κόμβων Tier Two για να συνδεθούν. Στη συνέχεια, η εφαρμογή ξεκινά την επικοινωνία με τον διακομιστή Tier Two για να αναζητά περιοδικά payloads για proxy μέσω της συσκευής. Η ανάλυση της Google διαπίστωσε ότι υπάρχουν περίπου 7.400 διακομιστές Tier Two.
Εκτός από τις υπηρεσίες proxy, οι διαχειριστές του IPIDEA έχουν βρεθεί να ελέγχουν domains που προσφέρουν δωρεάν εργαλεία VPN, τα οποία έχουν επίσης σχεδιαστεί για να συνδέονται με το δίκτυο proxy ως κόμβος εξόδου που ενσωματώνει είτε το Hex είτε το Packet SDK. Τα ονόματα των υπηρεσιών VPN είναι τα εξής:
- Galleon VPN (galleonvpn[.]com)
- Radish VPN (radishvpn[.]com
- Aman VPN (defunct)
Για την αντιμετώπιση της απειλής, η Google δήλωσε ότι έχει ενημερώσει το Google Play Protect ώστε να προειδοποιεί αυτόματα τους χρήστες για εφαρμογές που περιέχουν κώδικα IPIDEA. Για πιστοποιημένες συσκευές Android, το σύστημα θα καταργεί αυτόματα αυτές τις κακόβουλες εφαρμογές και θα μπλοκάρει τυχόν μελλοντικές προσπάθειες εγκατάστασής τους.
