Google Threat Intelligence Group (GTIG) a révélé aujourd’hui avoir collaboré avec l’industrie pour perturber IPIDEA, l’un des plus grands réseaux de proxys domestiques malveillants au monde.
Tribune – L’enquête du GTIG a révélé comment IPIDEA a obtenu un accès illicite à des appareils grand public — smartphones, décodeurs et ordinateurs — afin de faciliter de multiples activités malveillantes. Le réseau a servi de relais à de nombreux botnets et a été utilisé pour masquer les opérations de centaines de groupes d’attaquants, impliqués dans la cybercriminalité, l’espionnage, les attaques APT et les opérations d’influence, originaires de Chine, de Corée du Nord, d’Iran et de Russie.
Outre les poursuites judiciaires visant à fermer l’infrastructure utilisée pour gérer ces appareils et le partage de nos conclusions sur le fonctionnement de cette technologie avec d’autres fournisseurs de plateformes, Google a mis à jour Google Play Protect afin d’avertir automatiquement les utilisateurs des applications contenant du code IPIDEA. Pour les appareils Android certifiés, le système supprimera désormais ces applications malveillantes et bloquera toute tentative ultérieure de leur installation.
John Hultquist, analyste en chef au GTIG, souligne l’importance de cette opération :
« Les réseaux de proxys résidentiels sont devenus un outil omniprésent, allant de l’espionnage de pointe aux vastes opérations criminelles. En faisant transiter le trafic via la connexion internet domestique d’une personne, les attaquants peuvent se dissimuler à la vue de tous tout en infiltrant des environnements d’entreprise. En démantelant l’infrastructure qui faisait fonctionner le réseau IPIDEA, nous avons mis un terme brutal à un marché mondial qui vendait l’accès à des millions d’appareils grand public piratés. »
Ci-dessous, un aperçu général de l’opération. Pour consulter le rapport complet, comprenant la liste des SDK affectés et les indicateurs techniques, rendez-vous ici :
Comment cela fonctionnait
-
Double approche : dans certains cas, certains opérateurs de proxy rémunèrent les développeurs d’applications pour intégrer un code de « monétisation » caché dans des jeux et des utilitaires courants. Lorsqu’un utilisateur télécharge l’application, son appareil est discrètement inscrit au réseau.
-
Les opérateurs présentent ces kits comme un moyen pour les développeurs de monétiser leurs applications, et offrent une compatibilité avec Android, Windows, iOS et WebOS.
-
IPIDEA a également lancé des applications autonomes, commercialisées directement auprès de personnes cherchant à gagner de l’argent facilement, en annonçant ouvertement qu’elles paieraient les consommateurs pour installer l’application et leur permettre d’utiliser leur bande passante inutilisée.
-
-
Les marques IPIDEA sont largement commercialisées sur les forums clandestins, ciblant les acheteurs criminels à la recherche de moyens intraçables pour lancer des attaques.
-
L’accès à ces appareils est ensuite vendu à des tiers via différents services proxy et VPN.
Pourquoi c’est important
-
GTIG a identifié des millions d’appareils compromis, créant ainsi un « marché gris » mondial pour la bande passante détournée.
-
Comme le trafic est lié à un véritable fournisseur d’accès Internet domestique, les équipes de défense ont plus de mal à identifier le trafic malveillant, qui peut se fondre dans le reste du trafic sur le même réseau. Les pirates informatiques peuvent utiliser ces réseaux pour alterner continuellement les lieux où se déroulent leurs activités malveillantes.
-
-
Lorsque des appareils grand public sont piratés, ils ne font pas que « partager » leur bande passante internet. Ce logiciel peut créer une porte dérobée numérique dans un réseau domestique, offrant ainsi aux criminels un moyen d’accéder à d’autres appareils privés tels que des ordinateurs portables, des caméras ou des objets connectés à la maison qui sont sur le même réseau Wi-Fi.
Notes
Les attaquants utilisent un réseau mondial d’appareils grand public pour faire transiter leur trafic, ce qui leur permet de masquer leurs activités malveillantes en détournant ces adresses IP. Cela pose des défis majeurs aux équipes de sécurité, qui doivent détecter et bloquer ces activités.
Le fonctionnement du réseau est le suivant : IPIDEA recrute des appareils en rémunérant des développeurs d’applications pour intégrer du code caché dans leurs logiciels. Lorsqu’un utilisateur télécharge une application apparemment inoffensive, sa connexion Internet domestique est en réalité vendue au plus offrant. Les cybercriminels font ensuite transiter leur trafic malveillant à travers ces foyers compromis, ce qui donne l’apparence d’un trafic domestique légitime et rend très difficile la détection de leurs attaques par les équipes de sécurité.
Les recherches du GITG ont montré qu’au cours d’une seule semaine de janvier, des acteurs étatiques originaires de Chine, de Russie, d’Iran et de Corée du Nord ont utilisé cette infrastructure pour infiltrer des environnements SaaS et lancer des attaques par pulvérisation de mots de passe (password spray attacks).
Points clés du rapport :
-
GTIG a pris des mesures légales pour saisir les domaines utilisés pour gérer les appareils infectés et promouvoir les différentes marques d’IPIDEA, telles que 360 Proxy et PIA S5 Proxy.
-
Google Play Protect a été mis à jour pour alerter automatiquement les utilisateurs Android et supprimer les applications contenant les SDK malveillants utilisés pour détourner la bande passante.
-
Cette opération de perturbation cible un « marché gris », où les développeurs sont payés pour inclure du code proxy silencieux dans les jeux et les utilitaires, vendant ainsi les connexions Internet de leurs utilisateurs à des criminels.
-
Outre le fait de servir de couverture aux attaquants, ces proxys créent des failles de sécurité permettant aux cybercriminels d’accéder à d’autres appareils privés sur le réseau domestique de la victime, tels que des ordinateurs portables, des caméras ou des objets connectés.
