Google’s IPIDEA Disruption Did Not Stay Down as Trackers Counted the Proxy Pool Climbing Back Past a Million Addresses
Google zei eind januari 2026 dat het had getrokken het tapijt uit onder IPIDEA, een van de grootste residentiële proxy netwerken in de wereld. Acht maanden later werd het tapijt weer op de vloer geteld. Op 4 september publiceerde Team Cymru Research een infobrief waarin stond dat de operators vanaf bijna nul werden herbouwd vanaf april en in augustus bijna volledig operationeel waren. De firma zei dat het was het volgen van 1.021.627 IP adressen gebonden aan IPIDEA, en dat de backconnect laag gebruikt voor het beheren van de knooppunten was geklommen van de post-hit krater naar 6.713 actief Niveau 2 controllers, tegen ongeveer 7.400 voor de storing. De meeste van die controllers, de brief zei, zat op Chinese hyperscale cloud in Singapore en Hong Kong. Een takedown die niet blijft liggen is geen mislukking van het persbericht. Het is het bedrijfsmodel.
De AEGIS Alliantie houdt die heropbouw als punt, niet de overwinningsronde van januari. Residentiële proxies zijn telefoons, routers, tv-sticks, en set-top dozen verhuurd als uitgang knooppunten. De pitch naar een apparaat eigenaar is een paar dollar voor ongebruikte bandbreedte, of helemaal geen pitch. De pitch naar een koper is een thuis internet adres dat de filters banken en sociale netwerken houden voor data-center bereiken niet zal struikelen. In een zevendaagse venster in januari, Google Threat Intelligence Group zei meer dan 550 traced dreiging groepen gebruikten IPIDEA uitgangen, inclusief bemanningen toegeschreven aan China, Noord-Korea, Iran en Rusland. Dat nummer was nooit een club. Het was een prijslijst.
What Google actually switched off
The January action, described on the Google post en hoe langer Cloud threat-intelligence-up, was juridisch en technisch tegelijk. GTIG en partners gingen na commando domeinen, storefronts, en de software-ontwikkeling kits die de apparaten ingeschreven, vervolgens verzocht de rechtbank bestellingen zodat de volgende landing pagina een naam om te dienen. Play Protect werd bijgewerkt om Android-gebruikers te waarschuwen, strip apps bekend om de IPIDEA kit te dragen, en blok nieuwe installaties op gecertificeerde apparaten. John Hultquist, GTIG's chief analist, zei residentiële proxies was uitgegroeid tot een hulpmiddel "voor alles van high-end spionage tot enorme criminele regelingen," en dat routering door een thuisverbinding laat aanvallers "verbergen in het volle zicht." Reuters toegevoegd de inventaris: ten minste 13 residentiële-proxy merken ging offline in dezelfde actie, met meer dan 600 Android-toepassingen en 3,075 unieke Windows-bestanden gebonden aan de commando infrastructuur. Google zei dat de beschikbare pool gedaald door miljoenen apparaten.
Sommige van die apps waren van de kant geladen. Sommige reed in via software die beloofde een VPN, een schonere telefoon, of een kleine maandelijkse betaling. IPIDEA had zich geadverteerd als een toonaangevende proxy provider met miljoenen dagelijkse adressen. Google heeft ook de reputatie van het netwerk gekoppeld aan botnets, waaronder BADBOX 2.0, en in juli 2025 klaagde het 25 ongenoemd verdachten in China over dat botnet en de proxy laag rond Het. De eerlijke versie van een markt voor bandbreedtedeling bestaat. De versie GTIG beschreef behandelde toestemming als facultatief en het apparaat als inventaris. Zodra de kit op de doos staat, is de eigenaar geen klant. De eigenaar is een route. Een onderzoeker die eindpunten testte voor de aanslag, Antoine Vastel, meldde meer dan 16 miljoen unieke adressen die beantwoordden als onderdeel van het netwerk in de afgelopen 30 dagen. Miljoenen verwijderd is een echte kostenpost. Het is niet dezelfde zin als weg.
The hallway had a second door
Op 2 juli 2026 verhuisden Gtig, de FBI, IRS crimineel onderzoek, lumen, en de schaduwserver stichting naar een ander merk: netnut, ook wel gevolgd als popa. Google's follow-on post zei dat de januari les was dat een enkel netwerk kan kijken veerkrachtig na een publieke hit, dus het werk moest een programma. In een week in juni, GTIG zei het zag 316 verschillende dreiging clusters op verdachte NetNut uitgangen. Het bedrijf schatte dat netwerk op ongeveer 2 miljoen apparaten en zei dat de nieuwe actie heeft gesneden de beschikbare pool met miljoenen. De FBI en IRS hebben publieke domeinen in beslag genomen, waaronder infrastructuur die wordt gebruikt om statische woonadressen te leveren via contracten met internetproviders. Het moederbedrijf Alarum vertelde de markten dat de storing operaties en resultaten kon raken als het duurde. Kopers die van IPIDEA naar de volgende API waren gelopen vonden de volgende API in hetzelfde soort problemen.
Dat is niet het einde van de voorraad. Team Cymru's september telling is de volwassen versie van de januari aankondiging. Proxy winkels reconstitueren op verse controllers, vaak op cloud providers die een virtuele machine zal huren aan een vreemdeling. De sample van backconnect hosts die al open SOCKS proxies dragen is het onglamoureus deel: een IP-adres in Singapore is geen morele categorie. Het is een plek waar een knooppunt zich kan verstoppen terwijl een telefoon in een ander land de uitgang doet. Whitelabel merken die de pool van IPIDEA delen, namen kopers kenden als aparte storefronts, waren nooit aparte netwerken. Toen de stroomopwaarts werd geraakt knipperden ze. Toen de stroomopwaarts werd herbouwd moesten ze ergens wijzen.
The television in the living room was inventory too
Phones were the headline. Televisions were the quieter enrollment. On August 3, 2026, TechCrunch gemeld dat Samsung zou verbieden Smart TV apps die delen een huishouden internet verbinding met vreemden, nadat onderzoekers gevonden residentiële-proxy kits binnen populaire titels, waaronder spelletjes. Een Samsung woordvoerder zei nieuwe registraties met die functionaliteit waren al beperkt en dat het bedrijf was het verwijderen van apps die de componenten bevatten. LG was in dezelfde richting gegaan na onderzoek suggereerde een groot deel van de webOS-apps waren rustig delen bandbreedte. Een app hoeft niet open te blijven om een tunnel te houden. De set wordt een altijd-on uitgang. De eigenaar ziet een normaal menu. De onderzoeker ziet een woonadres en neemt een persoon aan.
Dat is de consumentenversie van de 550-groepsstatistiek. Niemand mag een "deel uw verbinding" app voor een paar dollar. Controleer wat geïnstalleerd is. Revoke VPN en toegankelijkheid machtigingen een weer widget heeft niet nodig. Factory-reset een goedkope Android doos die kwam met extra pictogrammen. Als een familielid werd betaald om een bandbreedte-app uit te voeren, neem dan aan dat de doos een exit is geweest en behandel opgeslagen wachtwoorden als gebrand. Play Protect helpt mensen die in de officiële winkel blijven. Het helpt niet een tv-stick die nooit zag de winkel, en het helpt niet een Windows-box die liep een gebarsten optimalizer. De Windows-bestand tellen in de januari-inventaris van Google is de herinnering dat dit nooit alleen een telefoonverhaal.
Ondernemingen hebben een ander probleem. Residentiële-proxy verkeer is hoe account overnames eruit zien als pendelen klanten. Fraudeteams die "home ISP" nog steeds als een veilige categorie behandelen, kopen het verhaal dat de proxywinkel verkoopt. De AEGIS-alliantie technologie en hacker nieuws files will keep the distinction: a household address is a path, not an identity. Related vendor-risk cases on this desk include the 700Credit API-breuk that exposed nearly six million car buyers, the NGate malware that cloned tap-to-pay cards, en Fantoomhacker waarschuwingen about crews that drain accounts while sounding like a bank. Different products. The device in the house is now a workplace for strangers.
Disruption is a bill, not a burial
IPIDEA's merken die donker werden waren een echte prijs. Door de rechtbank gekozen domeinen waren een echte kostenpost. Miljoenen apparaten vielen uit. Team Cymru's August snapshot zegt dat de operators de rekening betaalden en heropenden. NetNut's juli aanval zegt dat de FBI bereid is om de namen van de volgende winkel te nemen. Samsung's augustus beleid zegt dat een televisie maker eindelijk merkte dat een spel een tunnel kan zijn. Niets daarvan gaat met pensioen. Kogelvrije hosts gebruikt om dezelfde onzichtbaarheid te verkopen met een server in een slecht bewaakt rek. Residentiële proxies verkopen het met de woonkamer van een vreemde. Als er één winkel is geraakt, lopen kopers door de gang. Wanneer de winkel herbouwt op nieuwe cloud controllers, de zaal krijgt zijn oude huurder terug onder een frisse hostnaam.
Google ingelijst beide operaties als een programma, dat is hoe een grote verkoper werk beschrijft dat is openbare bescherming en marktverdediging op hetzelfde moment. Beide kunnen waar zijn. Een schoner Android ecosysteem is goed voor mensen die eigen telefoons. Het is ook goed voor het bedrijf dat het besturingssysteem verscheept. Lezers kunnen die feiten vasthouden zonder publiciteit van de verkoper. De meetbare test is de ene Team Cymru die al liep: hoeveel adressen beantwoorden, waar de controllers wonen, en of de whitelabel merken gescheiden zijn of gewoon schilderen. "Een van 's werelds grootste" was een januarizin. 1021.627 getraceerde adressen in september is een telling. De AEGIS Alliantie zal de rechtszaken als vooruitgang en de wederopbouw beschouwen als de reden waarom de rechtszaken moeten worden voortgezet. De volgende app die biedt om te betalen voor stationaire bandbreedte zal gebruik maken van zachtere kopie. De gang zal nog steeds te huur zijn, inclusief de fraude compounds en state crews die al weten hoe je een exit per uur te kopen, een markt De AEGIS Alliance heeft getraceerd door zaken als de Prince Group Bitcoin forfeiture.
