🔍 Contexte

Publié le 24 juillet 2026 par Black Lotus Labs (Lumen Technologies), cet article de recherche approfondie analyse l’écosystème mondial des proxies résidentiels malveillants, en s’appuyant sur la télémétrie du backbone IP global de Lumen et des années de suivi de botnets.

📊 Ampleur du phénomène

Black Lotus Labs suit près de 20 millions d’IPs distinctes par jour réparties sur plus de 30 clusters de botnets malveillants. Plus de 20 de ces clusters dépassent régulièrement 100 000 victimes quotidiennes. Les appareils compromis incluent des routeurs IoT/SOHO, des appareils Android (via APKs backdoorés et SDKs malveillants) et des TV boxes Android.

🦠 Botnets notables analysés

  • IPIDEA : perturbé par Google en janvier 2026, a perdu 25% de sa population de victimes mais a récupéré en juillet 2026 pour dépasser sa taille initiale (~10 millions d’IPs/jour). Utilise de nouveaux serveurs C2 depuis mars-mai 2026.
  • Jaguar : opéré par une entreprise chinoise, ~2 millions d’IPs/jour (600 000 via Jaguar + 1,5 million via un second botnet). Backdoors Android préinstallés. Quasi-absence de victimes en Chine.
  • Kookeey : service chinois, 1,5 à 2 millions d’IPs/jour, installations APK silencieuses. Utilisé dans des attaques de brute-force sur des logins Microsoft.
  • NetNut/Popa : perturbé par le DOJ américain avec Lumen, Google et Shadowserver. Popa atteignait ~1,5 million d’IPs/jour. Architecture de plus de 1 000 serveurs dont ~250 C2 Popa et ~400 gateways.
  • G3Proxy : initialement via TV boxes Android préinfectées, puis APKs en 2026. Pic à plus d'1 million d’IPs/jour. A migré son infrastructure C2 vers l’espace IP chinois après la perturbation d’IPIDEA.
  • NSOCKS/Ngioweb : perturbé par Lumen en 2024, a survécu en revendant des proxies d’autres services (NetNut, IPIDEA). Utilise désormais un DGA pour gérer son infrastructure C2.
  • ASOCKS/Nexusnet : perturbé par les autorités néerlandaises, revendiquait 17 millions d’IPs mais Lumen en observait 100 000-200 000. A maintenu ses opérations via ses partenariats de revente.

🔗 Écosystème symbiotique

Les grands fournisseurs développent leurs propres botnets tout en revendant les bots d’autres fournisseurs, créant une chaîne d’approvisionnement mondiale résiliente. Les connexions inter-botnets permettent à un opérateur de passer d’un réseau de 500 000 appareils à une offre de 5 millions d’IPs. ~50% des botnets malveillants suivis sont opérés par des acteurs chinois, qui excluent systématiquement la Chine continentale de leurs pools de proxies.

💳 Cas d’usage frauduleux documenté

Un acteur basé au Vietnam exploitait des proxies résidentiels (ipcola, kookeey, IPIDEA) pour valider et monétiser plus de 2 000 données de cartes bancaires fraîches. Les scripts utilisaient IPQualityScore pour filtrer les IPs propres, ciblaient des IPs géolocalisées dans des États américains spécifiques, et maintenaient des sessions IP fixes de 60 minutes.

⚠️ Menace émergente : Kimwolf/Dort

L’acteur individuel Dort a introduit une nouvelle menace en exploitant les proxies résidentiels eux-mêmes comme vecteur pour créer des botnets DDoS, atteignant un pic de ~400 000 IPs exploitées en un seul jour (février-mars 2026).

📄 Nature de l’article

Il s’agit d’une publication de recherche CTI produite par Black Lotus Labs, visant à documenter l’écosystème des proxies résidentiels malveillants, illustrer leur résilience face aux perturbations isolées, et plaider pour une action coordonnée multi-acteurs (industrie, forces de l’ordre, télécoms).

🧠 TTPs et IOCs détectés

Acteurs de menace

  • IPIDEA (cybercriminal) —
  • Jaguar (cybercriminal) —
  • Kookeey (cybercriminal) —
  • NetNut (cybercriminal) —
  • G3Proxy (cybercriminal) —
  • NSOCKS (cybercriminal) —
  • ASOCKS (cybercriminal) —
  • Dort (cybercriminal) —

TTP

  • T1090.002 — Proxy: External Proxy (Command and Control)
  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1583.008 — Acquire Infrastructure: Malvertising (Resource Development)
  • T1584.005 — Compromise Infrastructure: Botnet (Resource Development)
  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
  • T1110.003 — Brute Force: Password Spraying (Credential Access)
  • T1496 — Resource Hijacking (Impact)
  • T1568.002 — Dynamic Resolution: Domain Generation Algorithms (Command and Control)
  • T1036 — Masquerading (Defense Evasion)
  • T1588.001 — Obtain Capabilities: Malware (Resource Development)

IOC

Malware / Outils

  • KadNap (botnet)
  • Ngioweb (botnet)
  • Kimwolf (botnet)
  • Titan (botnet)
  • Popa (botnet)
  • G3Proxy (botnet)
  • NSOCKS (botnet)
  • ASOCKS (botnet)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ⬜ lumen.com — source non référencée (0pts)
  • ✅ 39718 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 8 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/3 IOCs confirmés externellement (0pts)
  • ✅ 11 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : IPIDEA, Jaguar, Kookeey (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.lumen.com/blog/en-us/symbiotic-parasites-the-modern-proxy-ecosystem