Proxies residenciais maliciosos estão evoluindo para uma indústria subterrânea independente

A Infoblox investigou as operações do Lurking Lizard — um operador de redes de proxies residenciais maliciosos que roteiam tráfego através de endereços IP de dispositivos de usuários reais. A pesquisa começou com uma campanha lançada no início de 2026 que distribuiu um instalador 7-Zip falso. Uma vez instalado, o dispositivo tornava-se um nó de proxy disponível para aluguel.

Mais tarde, a Infoblox vinculou a campanha a uma infraestrutura ativa desde pelo menos agosto de 2022 e identificou mais de 230 domínios relacionados imitando sites populares de download de software. A característica principal é que o operador controlava várias partes do ecossistema:

• aplicativos distribuídos que conectavam dispositivos comprometidos ao pool de proxies upon instalação; • sites construídos imitando serviços de proxies legítimos; • venda de acesso a dispositivos infectados para redirecionamento de tráfego; • lançamento de plataformas hospedando avaliações positivas aparentemente independentes de seus serviços.

De acordo com a Infoblox, o operador estabeleceu "um negócio de proxies maliciosos de ponta a ponta": desde adquirir dispositivos e gerenciar infraestrutura até marketing e venda de acesso. O operador não apenas mantém seu próprio pool de dispositivos comprometidos, mas também compra acesso a endereços IP residenciais de provedores maiores. Cerca de 2 milhões de endereços IPv4 ativos pertencentes à smartproxy[.]org se sobrepuseram significativamente à rede IPIDEA, que o Google interrompeu no início de 2026.

Pesquisadores enfatizam que proxies residenciais maliciosos não são mais apenas uma maneira extra de monetizar dispositivos infectados, mas tornaram-se um negócio subterrâneo independente. A principal commodity é o acesso aos endereços IP de usuários reais, o que ajuda a ocultar atividades maliciosas atrás de fontes de tráfego aparentemente legítimas.