Google’s IPIDEA Disruption Did Not Stay Down as Trackers Counted the Proxy Pool Climbing Back Past a Million Addresses
Google dijo a finales de enero de 2026 que había sacado la alfombra de debajo de IPIDEA, una de las redes de proxy residencial más grandes del mundo. Ocho meses después, una tienda de inteligencia amenazaba con contar la alfombra en el suelo. El 4 de septiembre, Team Cymru Research publicó un informe de información diciendo que los operadores reconstruyeron desde cerca de cero a partir de abril y estuvieron cerca de la operación completa para agosto. La firma dijo que estaba rastreando 1.021.627 direcciones IP atadas a IPIDEA, y que la capa de backconnect utilizada para gestionar los nodos había subido del cráter post-hit a 6.713 activos Tier-2 controladores, contra alrededor de 7.400 antes de la interrupción. La mayoría de esos controladores, según el informe, se sentaron en la nube de hiperescala china en Singapur y Hong Kong. Un retiro que no se queda abajo no es un fracaso del comunicado de prensa. Es el modelo de negocio.
La Alianza AEGIS mantiene esa reconstrucción como punto, no la victoria de enero. Los proxies residenciales son los teléfonos de otras personas, los routers, las barras de televisión y las cajas instaladas alquiladas como nodos de salida. El lanzamiento a un propietario del dispositivo es unos pocos dólares para ancho de banda no utilizado, o ningún lanzamiento en absoluto. El lanzamiento a un comprador es una dirección de Internet casera que no recorrerá los filtros bancos y las redes sociales guardan para rangos de centro de datos. En una ventana de siete días en enero, Google Threat Intelligence Group dijo que más de 550 grupos de amenazas rastreados utilizaron salidas IPIDEA, incluyendo tripulaciones atribuidas a China, Corea del Norte, Irán y Rusia. Ese número nunca fue un club. Era una lista de precios.
What Google actually switched off
The January action, described on the Google post y más tiempo Cloud threat-intelligence write-up, was legal and technical at once. GTIG and partners went after command domains, storefronts, and the software-development kits that enrolled devices, then sought court orders so the next landing page would have a name to serve. Play Protect was updated to warn Android users, strip apps known to carry the IPIDEA kit, and block new installs on certified devices. John Hultquist, GTIG’s chief analyst, said residential proxies had become a tool «for everything from high-end espionage to massive criminal schemes,» and that routing through a home connection let attackers «hide in plain sight.» Reuters añadido el inventario: al menos 13 marcas residencial-proxy se desconectaron en la misma acción, con más de 600 aplicaciones Android y 3,075 archivos únicos de Windows atados a los infraestructura de mando. Google dijo que la piscina disponible cayó en millones de dispositivos.
Algunas de esas aplicaciones estaban cargadas. Algunos llegaron a través del software que prometió una VPN, un teléfono más limpio, o un pequeño pago mensual. IPIDEA se había anunciado como un proveedor proxy líder con millones de direcciones diarias. Google también ha atado la reputación de la red a botnets incluyendo BADBOX 2.0, y en julio de 2025 demandó a 25 acusados sin nombre en China sobre ese botnet y la capa proxy alrededor de Es. Existe la versión honesta de un mercado de intercambio de bandas. La versión GTIG describió el consentimiento tratado como opcional y el dispositivo como inventario. Una vez que el kit está en la caja, el propietario no es un cliente. El dueño es una ruta. Un investigador que probó endpoints antes del éxito, Antoine Vastel, reportó más de 16 millones de direcciones únicas respondiendo como parte de la red en los 30 días anteriores. Millones eliminados es un costo real. No es la misma frase que se ha ido.
The hallway had a second door
El 2 de julio de 2026, gtig, fbi, investigación Criminal IRS, Lumen, y la fundación del servidor de sombras se movieron en una marca diferente: netnut, también rastreado como popa. El poste de seguimiento de Google dijo que la lección de enero era que una sola red puede verse resiliente después de un éxito público, por lo que el trabajo tenía que ser un programa. En una semana de junio, GTIG dijo que vio 316 grupos de amenazas distintos en las presuntas salidas de NetNut. La compañía estimó que la red en aproximadamente 2 millones de dispositivos y dijo que la nueva acción cortó la piscina disponible por millones. El FBI y el IRS incautaron dominios públicos, incluyendo infraestructura utilizada para suministrar direcciones residenciales estáticas a través de contratos con proveedores de Internet. La compañía de padres Alarum dijo a los mercados que el outage podría golpear operaciones y resultados si duró. Los compradores que habían caminado desde IPIDEA a la siguiente API encontraron la próxima API en el mismo tipo de problemas.
Ese no es el final de la oferta. El conteo de septiembre del equipo Cymru es la versión adulta del anuncio de enero. Proxy tiendas reconstituir en controladores frescos, a menudo en proveedores de nubes que alquilarán una máquina virtual a un extraño. La muestra de los anfitriones de backconnect que ya llevan proxies SOCKS abiertos es la parte no aglamorosa: una dirección IP en Singapur no es una categoría moral. Es un lugar donde un nodo puede ocultar mientras un teléfono en otro país hace la salida. Las marcas Whitelabel que compartían la piscina de IPIDEA, nombres que los compradores sabían como escaparates separados, nunca fueron redes separadas. Cuando se golpeó el río arriba, parpadearon. Cuando se reconstruyó el río arriba, tenían algo que señalar.
The television in the living room was inventory too
Phones were the headline. Televisions were the quieter enrollment. On August 3, 2026, TechCrunch informó que Samsung prohibiría las aplicaciones Smart TV que comparten la conexión de Internet de un hogar con extraños, después de que los investigadores encontraron kits residencial-proxy dentro de títulos populares, incluyendo juegos. Un portavoz de Samsung dijo que los nuevos registros con esa funcionalidad ya estaban restringidos y que la compañía estaba eliminando aplicaciones que contenían los componentes. LG se había movido en la misma dirección después de la investigación sugirió una gran parte de las aplicaciones webOS estaban compartiendo silenciosamente ancho de banda. Una aplicación no necesita permanecer abierta para mantener un túnel. El set se convierte en una salida siempre en marcha. El propietario ve un menú normal. El investigador ve una dirección residencial y asume a una persona.
That is the consumer version of the 550-group statistic. No one should sideload a «share your connection» app for a few dollars. Check what is installed. Revoke VPN and accessibility permissions a weather widget does not need. Factory-reset a cheap Android box that arrived with extra icons. If a relative was paid to run a bandwidth app, assume the box has been an exit and treat stored passwords as burned. Play Protect helps people who stay inside the official store. It does not help a television stick that never saw the store, and it does not help a Windows box that ran a cracked optimizer. The Windows file count in Google’s January inventory is the reminder that this was never only a phone story.
Enterprises have a different problem. Residential-proxy traffic is how account takeovers look like commuting customers. Fraud teams that still treat «home ISP» as a safe category are buying the story the proxy shop sells. The AEGIS Alliance tecnología y hacker news files will keep the distinction: a household address is a path, not an identity. Related vendor-risk cases on this desk include the 700Credit API breach that exposed nearly six million car buyers, the NGate malware that cloned tap-to-pay cards, y Advertencias fantasma-hacker about crews that drain accounts while sounding like a bank. Different products. The device in the house is now a workplace for strangers.
Disruption is a bill, not a burial
Las marcas de IPIDEA se oscurecieron fue un costo real. Los dominios del tamaño de la corte eran un costo real. Millones de dispositivos que se agotan fue un costo real. La instantánea de agosto del equipo Cymru dice que los operadores pagaron la factura y reabrieron. El ataque de julio de NetNut dice que el FBI está dispuesto a tomar los nombres del próximo escaparate. La política de agosto de Samsung dice que un fabricante de televisión finalmente notó que un juego puede ser un túnel. Nada de eso retira el producto. Los hosts a prueba de balas solían vender la misma invisibilidad con un servidor en un rack mal supervisado. Los proxies residenciales lo venden con el salón de un extraño. Cuando una tienda es golpeada, los compradores caminan por el pasillo. Cuando la tienda se reconstruye en nuevos controladores de nube, el pasillo recupera a su viejo inquilino bajo un nuevo nombre de host.
Google framed both operations as a program, which is how a large vendor describes work that is public protection and market defense at the same time. Both can be true. A cleaner Android ecosystem is good for people who own phones. It is also good for the company that ships the operating system. Readers can hold those facts without doing the vendor’s publicity. The measurable test is the one Team Cymru already ran: how many addresses answer, where the controllers live, and whether the whitelabel brands are separate or just paint. «One of the world’s largest» was a January phrase. 1,021,627 tracked addresses in September is a count. The AEGIS Alliance will take the lawsuits as progress and the rebuild as the reason the lawsuits have to continue. The next app that offers to pay for idle bandwidth will use softer copy. The hallway will still be for rent, including to the fraud compounds and state crews that already know how to buy an exit by the hour, a market The AEGIS Alliance has traced through cases like the Prince Group Bitcoin forfeiture.
