Proxies Residenciais

Uma operação coordenada envolvendo o Google e outras entidades, como o FBI, resultou na desarticulação da NetNut, uma rede de proxies residenciais que controlava milhões de dispositivos Android comprometidos, incluindo TVs inteligentes e caixas de streaming. Conhecida também como Popa, a botnet NetNut permitia que cibercriminosos ocultassem suas atividades maliciosas utilizando endereços IP residenciais legítimos. Estima-se que a rede seja composta por pelo menos dois milhões de dispositivos infectados, que se tornaram parte da botnet após serem contaminados por malware, seja pré-instalado ou baixado por meio de aplicativos maliciosos. A operação resultou na apreensão de domínios utilizados pela NetNut e na desativação de contas e serviços que os operadores da botnet utilizavam para controle de malware. O Google também implementou medidas de proteção para alertar usuários e desativar aplicativos infectados. A desarticulação da NetNut pode ter um impacto significativo na indústria de proxies, uma vez que muitos serviços populares dependem dessa rede. O Google já havia realizado ações semelhantes anteriormente, visando desmantelar botnets de proxies residenciais.

Um estudo recente revela que muitos usuários de VPNs gratuitas e aplicativos de streaming podem estar inadvertidamente contribuindo para atividades criminosas, ao permitir que suas conexões de internet sejam utilizadas como proxies residenciais. Esses serviços, que prometem anonimato, frequentemente não obtêm permissão dos usuários e podem resultar em suas redes sendo marcadas como fraudulentas. A pesquisa da Infoblox Threat Intel indica que mais de 65% dos clientes de sua nuvem de defesa contra ameaças realizaram consultas DNS a domínios associados a redes de proxies residenciais, totalizando mais de 500 bilhões de consultas mensais. Essa prática não só compromete a segurança e a privacidade dos usuários, mas também pode levar a problemas legais, uma vez que é difícil provar que um usuário foi apenas um intermediário em atividades maliciosas. Para mitigar esses riscos, recomenda-se realizar auditorias de software, monitorar dispositivos conectados e investir em serviços que bloqueiem solicitações suspeitas. Além disso, usuários podem verificar o perfil de risco de seus endereços IP para identificar se já foram vítimas de abusos.

Pesquisadores alertam que proxies residenciais, utilizados para redirecionar tráfego malicioso, representam um grande problema para sistemas de reputação de IPs, pois não há uma distinção clara entre atacantes e usuários legítimos. Um estudo da plataforma de inteligência em cibersegurança GreyNoise analisou um conjunto de dados massivo de 4 bilhões de sessões maliciosas ao longo de três meses, revelando que cerca de 39% dessas sessões parecem originar-se de redes domésticas, muitas delas parte de proxies residenciais. A pesquisa indicou que 78% dessas sessões são invisíveis para os feeds de reputação. A maioria dos IPs residenciais é utilizada uma ou duas vezes antes de desaparecer, dificultando a catalogação por sistemas de defesa. Além disso, 89,7% dos IPs residenciais estão ativos em operações maliciosas por menos de um mês. Os pesquisadores também notaram que o tráfego de proxies residenciais é gerado por dois ecossistemas distintos: botnets de IoT e computadores infectados. A China, Índia e Brasil são os principais contribuidores para esse tráfego. A GreyNoise sugere que as táticas de evasão de proxies residenciais exigem uma mudança de foco, priorizando o comportamento em vez da reputação do IP.

Uma campanha coordenada de reconhecimento visando a infraestrutura do Citrix NetScaler foi observada entre 28 de janeiro e 2 de fevereiro, utilizando mais de 63 mil endereços IP distintos. Essa atividade, que gerou 111.834 sessões, focou na identificação de painéis de login e na enumeração de versões do produto, indicando um esforço organizado. Aproximadamente 64% do tráfego proveniente de proxies residenciais, que se apresentavam como endereços de ISPs legítimos, dificultou a filtragem baseada em reputação. Os pesquisadores da GreyNoise identificaram dois indicadores claros de intenção maliciosa: um ataque direcionado à interface de autenticação e outro focado em um arquivo específico do Endpoint Analysis (EPA). A atividade sugere um mapeamento de infraestrutura pré-exploração, com interesse em desenvolver exploits específicos para versões vulneráveis do Citrix ADC. As falhas críticas mais recentes que afetam os produtos Citrix incluem CVE-2025-5777 e CVE-2025-5775. Os especialistas recomendam que administradores de sistemas revisem a necessidade de gateways Citrix expostos à internet e monitorem acessos anômalos.

Recentemente, o Google Threat Intelligence Group (GTIG), em colaboração com parceiros da indústria, desmantelou a IPIDEA, uma das maiores redes de proxies residenciais utilizadas por cibercriminosos. A operação incluiu a remoção de domínios associados aos serviços da IPIDEA, que afirmava oferecer serviços de VPN para 6,7 milhões de usuários em todo o mundo. A rede utilizava endereços IP de usuários residenciais e pequenas empresas, comprometendo dispositivos através de aplicativos maliciosos. O Google revelou que mais de 550 grupos de ameaças, incluindo atores de países como China, Irã, Rússia e Coreia do Norte, utilizaram os nós de saída da IPIDEA em uma única semana. As atividades maliciosas observadas incluíram acesso a plataformas SaaS, controle de botnets e ataques de força bruta. A infraestrutura da IPIDEA era composta por cerca de 7.400 servidores que gerenciavam tarefas de proxy. Embora a ação do GTIG tenha impactado significativamente as operações da IPIDEA, os operadores podem tentar reconstruir sua infraestrutura. O Google recomenda cautela ao usar aplicativos que oferecem serviços de VPN gratuitos ou que pagam por largura de banda, especialmente aqueles de desenvolvedores não confiáveis.

Os ataques de negação de serviço distribuído (DDoS) evoluíram drasticamente em 2025, tornando-se uma ocorrência diária para provedores de telecomunicações. O artigo destaca que, enquanto em 2024 cerca de 44% das campanhas DDoS terminavam em cinco minutos, esse número saltou para 78% em 2025, com mais de um terço dos ataques concluídos em menos de dois minutos. Essa aceleração se deve à automação dos ataques, que agora são orquestrados por algoritmos que adaptam suas estratégias em tempo real, dificultando a resposta das defesas tradicionais. Além disso, a origem do tráfego de ataque mudou, com redes de proxies residenciais, que podem incluir de 100 a 200 milhões de dispositivos, agora sendo utilizadas para retransmitir tráfego malicioso. Essa nova infraestrutura de ataque é invisível e muito mais difícil de ser detectada, representando uma ameaça significativa. Para se defender, as organizações precisam adotar sistemas automatizados e escaláveis que integrem inteligência para identificar tráfego malicioso entre usuários legítimos. O artigo conclui que as defesas DDoS tradicionais não são mais suficientes e que é crucial uma evolução para arquiteturas de defesa proativas.