Google hat ein riesiges Proxy Netzwerk zerschlagen, das Millionen von Smartphones und PCs für Cyberangriffe missbraucht hat

Die Threat Intelligence Group (GTIG) von Google hat eines der weltweit größten Proxy Netzwerke für private Internetanschlüsse, IPIDEA, erfolgreich zerschlagen und damit dessen Fähigkeit, Millionen von Endgeräten weltweit für bösartige Aktivitäten zu missbrauchen, erheblich eingeschränkt. Diese Aktion ist ein bedeutender Erfolg im Kampf gegen verdeckte Infrastrukturen, die Cyberkriminellen lange Zeit ermöglichten, ihre Machenschaften zu verschleiern. Das Unternehmen gab an, dass das Proxy Netzwerk Android Geräte und Windows PCs heimlich in Internet Proxys für Kriminelle umwandelte und ihnen so ermöglichte, den Datenverkehr über die Heimnetzwerke der Nutzer umzuleiten und so die Herkunft bösartiger Aktivitäten zu verschleiern.

GTIG legt riesiges Proxy Netzwerk still

In einem Blogbeitrag kündigte der Technologiekonzern die Zerschlagung des IPIDEA Proxy Netzwerks an und erläuterte die Details. Ein Proxy Netzwerk für private Internetanschlüsse ist ein nicht autorisierter und unethischer Dienst, der den Internetverkehr über Geräte leitet, um die wahre Quelle von Aktivitäten zu verschleiern. Anstatt auf kommerzielle Server zurückzugreifen, nutzen diese Netzwerke kompromittierte Endgeräte, um Verbindungen so erscheinen zu lassen, als kämen sie von legitimen privaten IP Adressen.

Proxy Netzwerke für private Internetanschlüsse werden häufig von Angreifern verwendet, um bösartiges Verhalten wie Credential Stuffing, Content Scraping, Kontoübernahmen und andere Formen von Betrug zu verschleiern. Google gab an, das Netzwerk zusammen mit seinen Partnern identifiziert zu haben. Das Netzwerk nutzte verschiedene Techniken, um der Entdeckung zu entgehen, darunter das Ausführen versteckter Dienste auf den Geräten und die Verschleierung von Command-and-Control Kanälen.

Der Blogbeitrag hob hervor, dass sich die Operation über eine Reihe bösartiger Android Apps und Proxy Software auf Windows PCs verbreitete. Die Apps wurden außerhalb offizieller App-Stores sowie über Drittanbieter Plattformen vertrieben und enthielten Mechanismen, um im Hintergrund aktiv zu bleiben und weiterhin Datenverkehr weiterzuleiten. Google erklärte, dass die Proxy Funktionalität der Malware für die Nutzer oft unsichtbar war und das Netzwerk in vielen Fällen ohne merklichen Einfluss auf die Akkulaufzeit oder den Datenverbrauch lief, was die Gerätebesitzer hätte alarmieren können.

Um die Infrastruktur zu zerschlagen, identifizierten GTIG und Partner die Command-and-Control Server, die das Netzwerk verwalteten, und ergriffen Maßnahmen, um deren Betrieb zu unterbinden. Dazu gehörte die Zusammenarbeit mit Infrastrukturanbietern und Domain Registraren, um Domains und Server abzuschalten, die zum Senden von Befehlen an kompromittierte Geräte und zum Empfangen und Weiterleiten von Proxy Datenverkehr verwendet wurden.