Un network di proxy residenziali distrutto: 6,7 milioni di utenti colpiti

Analisi Tecnica: Architettura e funzionamento di IPIDEA

Residential proxy networks come IPIDEA si basano sull'uso di indirizzi IP di dispositivi domestici o aziendali compromessi, sfruttati per instradare il traffico Internet. Questo modello consente agli attaccanti di mascherare le loro attività malevole, rendendo complessa la loro rilevazione da parte dei difensori delle reti. L'infezione dei dispositivi avviene principalmente attraverso applicazioni trojanizzate che si presentano come utility utili, ma incorporano SDK (Software Development Kits) per il proxying.

IPIDEA ha utilizzato almeno 600 applicazioni Android trojanizzate, tra cui SDK come Packet SDK, Castar SDK, Hex SDK e Earn SDK, per distribuire il tool di proxying. Questi SDK erano integrati in app che promettevano funzionalità come la crittografia del traffico o la protezione della privacy, ma in realtà trasformavano i dispositivi degli utenti in exit nodes per reti di proxy. In parallelo, sono stati distribuiti oltre 3.000 eseguibili Windows falsificati, che si presentavano come aggiornamenti di Windows o OneDriveSync.

Struttura del sistema di controllo (C2)

IPIDEA operava su un sistema di due livelli di C2 (Command and Control):

• Livello 1: Gestiva la configurazione, i tempi di attivazione e la lista dei nodi del livello 2.
• Livello 2: Esecutiva, responsabile dell'invio di comandi specifici ai dispositivi compromessi.

Questa architettura separata permetteva una maggiore resilienza al sistema, rendendo più difficile il suo smantellamento.

Malware e attività osservate

IPIDEA ha supportato botnet di grandi dimensioni, come Aisuru (responsabile di un attacco DDoS da 297 Tbps) e Kimwolf, che sfruttavano proxy residenziali per compromettere dispositivi interni. Le attività osservate includevano:

• Accesso a piattaforme SaaS (es. aziende e servizi cloud).
• Attacchi password spraying per compromettere credenziali.
• Controllo di botnet per eseguire attività malevole.
• Obfuscation dell'infrastruttura per evitare la rilevazione.

Secondo Google, in una settimana sono state rilevate attività di oltre 550 gruppi di minaccia che utilizzavano i nodi di uscita di IPIDEA, tra cui attori provenienti da Cina, Iran, Russia e Corea del Nord.

Detection e mitigazione

Google Play Protect è stato aggiornato per bloccare automaticamente le app che includono SDK legati a IPIDEA su dispositivi Android aggiornati e certificati. Inoltre, Google ha condiviso intelligence sulle SDK di sviluppo utilizzate da IPIDEA, permettendo a partner e aziende di rilevare e mitigare l'uso di tali strumenti.

Nonostante l'uso di marchi diversi (es. 360 Proxy, Galleon VPN, Luna Proxy), tutti i servizi erano collegati a un'infrastruttura centralizzata controllata da un'unica entità, i cui operatori non sono stati identificati.

Contesto: DI MERCATO/SICUREZZA

Dismissione di una rete di proxy residenziali di massa: IPIDEA, una delle più grandi reti di proxy residenziali utilizzate da attori maligni, è stata recentemente smantellata da Google Threat Intelligence Group (GTIG) in collaborazione con partner del settore. L'operazione ha incluso il blocco di dominî associati ai servizi IPIDEA, la gestione di dispositivi infetti e il routing del traffico proxy. Google ha condiviso informazioni sui kit di sviluppo software (SDK) utilizzati da IPIDEA per distribuire lo strumento di proxying.

Impatto sul mercato e sulla sicurezza: IPIDEA si presentava come un servizio VPN che "criptava il traffico online e nascondeva l'indirizzo IP reale", con 6,7 milioni di utenti in tutto il mondo. Tuttavia, la rete utilizzava indirizzi IP di utenti domestici o piccole imprese per instradare il traffico dopo aver compromesso dispositivi su una rete. L'infezione avveniva spesso tramite app e software trojanizzati che si facevano passare per utilità utili.

• Attività dannose: Secondo una lettera legale di Google, gli attori maligni utilizzavano i proxy residenziali per attività come il furto di credenziali, l'accesso non autorizzato a piattaforme SaaS, il controllo di botnet e l'obfuscation dell'infrastruttura. GTIG ha osservato più di 550 gruppi di minaccia distinti che utilizzavano i nodi di uscita di IPIDEA in una settimana, tra cui attori provenienti da Cina, Iran, Russia e Corea del Nord.
• Collegamenti a botnet di grandi dimensioni: L'infrastruttura di IPIDEA ha supportato botnet DDoS di record, come Aisuru e Kimwolf, e ha alimentato attacchi di forza bruta su larga scala contro servizi VPN e SSH, come segnalato da Cisco Talos.

Struttura tecnica e operativa: Google ha rivelato che IPIDEA utilizzava almeno 600 app Android trojanizzate, integrate con SDK di proxying (Packet SDK, Castar SDK, ecc.), e più di 3.000 eseguibili Windows infetti che si facevano passare per OneDriveSync o Windows Update. La rete ha promosso app di proxying a utenti Android, trasformando i loro dispositivi in nodi di uscita senza il loro consenso.

• Marchi associati: IPIDEA gestiva almeno 19 aziende di proxy residenziali che si facevano passare per servizi legittimi, vendendo l'accesso a dispositivi compromessi con il malware BadBox 2.0. Tra i marchi associati:
  • 360 Proxy
  • 922 Proxy
  • ABC Proxy
  • Cherry Proxy
  • Door VPN
  • Galleon VPN
  • IP 2 World
  • Ipidea
  • Luna Proxy
  • PIA S5 Proxy
  • PY Proxy
  • Radish VPN
  • Tab Proxy
• Struttura di comando e controllo: IPIDEA operava su un sistema C2 a due livelli, con il primo livello che forniva configurazioni e timing, e il secondo che gestiva i nodi.

Risposta di Google: Google Play Protect blocca automaticamente le app che includono SDK correlati a IPIDEA su dispositivi Android aggiornati e certificati. Tuttavia, gli operatori di IPIDEA, rimasti anonimi, hanno mantenuto un controllo centralizzato su tutta l'infrastruttura.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

1. Evitare applicazioni non verificate Le reti di proxy residenziali come IPIDEA si diffondono attraverso app trojanizzate. Gli utenti devono evitare di installare applicazioni da fonti non attendibili o non certificate. Verificare sempre la reputazione dello sviluppatore e le recensioni su piattaforme ufficiali.

2. Controllare i permessi delle applicazioni Le app legittime non richiedono accesso a dati sensibili come l'indirizzo IP o il traffico di rete. Se un'app richiede permessi anomali, è consigliabile eliminarla immediatamente.

3. Utilizzare strumenti di sicurezza aggiornati Strumenti come Google Play Protect (Google Play) rilevano automaticamente SDK dannosi. Gli utenti devono assicurarsi che i dispositivi siano aggiornati e che i sistemi di sicurezza siano attivi.

4. Monitorare il traffico di rete Gli utenti e gli investitori devono utilizzare strumenti di analisi del traffico (es. Cisco Talos) per rilevare attività sospette, come il routing del traffico attraverso IP non autorizzati.

5. Evitare servizi proxy con marchi associati a IPIDEA Non utilizzare servizi come 360 Proxy, DoorVPN, o GalleonVPN, che sono stati collegati a IPIDEA. Verificare sempre l'infrastruttura centrale dietro i servizi proxy.

6. Restare informati sulle minacce emergenti Seguire le pubblicazioni di gruppi come Google Threat Intelligence per comprendere le nuove tecniche di attacco e adottare misure preventive.

7. Limitare l'uso di dispositivi compromessi Le reti di proxy residenziali sfruttano dispositivi infetti. Gli utenti devono eseguire regolarmente scansione di sicurezza e rimuovere software non necessario.

La dismissione di IPIDEA rappresenta un momento cruciale nella lotta contro le reti di proxy residenziali utilizzate per attività maliziose. Tuttavia, l’azione di Google e dei suoi partner non elimina il rischio di nuove infrastrutture simili, che potrebbero emergere rapidamente per sfruttare le lacune nei sistemi di difesa. La complessità del modello di business di IPIDEA — basato su applicazioni trojanizzate, controllo centralizzato e utilizzo di dispositivi compromessi — indica che i criminali informatici continueranno a innovare per evitare la rilevazione.

I dati sulle attività osservate (550 gruppi di minaccia in una settimana, botnet come Aisuru e Kimwolf) sottolineano l’impatto sistemico di tali reti. La collaborazione tra aziende tecnologiche, enti governativi e organizzazioni di intelligence resterà essenziale per contrastare l’espansione di questi strumenti. Inoltre, la crescente diffusione di malware come BadBox 2.0 e l’abuso di applicazioni legittime (es. OneDriveSync) richiederanno soluzioni più avanzate per la rilevazione e la rimozione automatica.

• La dipendenza da Android e Windows: La proliferazione di SDK trojanizzati in entrambi i sistemi operativi richiederà una maggiore attenzione da parte degli sviluppatori e dei fornitori di servizi cloud.
• Il ruolo delle autorità: L’azione legale di Google, documentata nel court letter, potrebbe ispirare iniziative simili in futuro, ma la cooperazione internazionale rimarrà un ostacolo.
• La sfida della scalabilità: Con il crescente numero di dispositivi connessi, le reti di proxy residenziali potranno continuare a espandersi, a meno che non vengano adottate tecnologie di monitoraggio più sofisticate.

In sintesi, sebbene la dismissione di IPIDEA abbia colpito un bersaglio significativo, il panorama cyber rimarrà altamente dinamico, con nuove minacce che richiederanno un’adeguata risposta tecnologica e geopolitica.