Proxy Résidentiel

🏛️ Contexte Publié le 4 novembre 2026 sur KrebsOnSecurity, cet article rapporte la découverte par des sociétés de sécurité de nœuds de proxy résidentiels actifs au sein du réseau de l’Executive Office of the President (AS2650), le réseau dédié à la Maison Blanche. 🔍 Faits principaux La société Layer3 Intel a détecté plusieurs nœuds de proxy résidentiels émettant depuis AS2650 entre le 5 octobre et le 3 novembre 2026, avec 236 sorties enregistrées depuis ce réseau. 28 services de proxy résidentiels distincts ont été capables d’utiliser ce réseau comme point de sortie. L’activité est concentrée en soirée, entre 17h et minuit, sur 26 des 30 jours observés, depuis 6 adresses IP. La société Synthient a attribué l’activité à des installations de Windows 11 équipées du service Infatica, un programme de proxy souvent intégré dans des applications gratuites via des SDKs. 🇷🇺 Lien avec la Russie Vladimir Fomenko, fondateur d’Infatica, est également fondateur de King Servers, une société d’hébergement russe dont 6 des 8 adresses IP utilisées par les services de sécurité russes pour compromettre les bases de données électorales de l’Arizona et de l’Illinois en 2016 provenaient de son infrastructure. ⚠️ Risques identifiés L’accès au réseau AS2650 via ces proxies est public et disponible pour quelques dollars, sans processus KYC. En fin 2025, une vulnérabilité généralisée dans ces services permettait de sonder les réseaux locaux des endpoints proxy pour infecter des systèmes avec des malwares. En janvier 2026, des dizaines de services de proxy ont dû patcher leurs réseaux suite à la démonstration par Ben Brundage (Synthient) d’une vulnérabilité permettant de prendre le contrôle de dispositifs sur les réseaux locaux d’utilisateurs. Selon Spur, des proxies résidentiels ont été trouvés dans près de 300 réseaux gouvernementaux, 318 entreprises de services publics, 166 établissements de santé et 141 entreprises financières. Infoblox a constaté que 65% de sa base clients interrogeait des domaines liés à des proxies résidentiels. 📰 Nature de l’article Article de presse spécialisée à visée investigative, documentant une exposition de sécurité sur un réseau gouvernemental critique via des services de proxy résidentiels à risque. ...

🗓️ Contexte Publié le 2 novembre 2026 sur KrebsOnSecurity, cet article relate une opération coordonnée menée par Google et plusieurs partenaires industriels contre le botnet XCPE, dont le nom est tiré d’un composant central du malware associé. 🎯 Nature de la menace Le fabricant chinois Videostrong Technology Co. a délibérément intégré un malware backdoor dans ses box TV Android, enrollant plus de 1,3 million d’appareils dans le botnet XCPE. Ce malware : ...

🔍 Contexte Publié le 2 novembre 2026 par le Google Threat Intelligence Group, cet article détaille le démantèlement du botnet XCPE, opéré par Videostrong Technology Co., un fabricant OEM/ODM Android basé en Chine. L’opération a été menée en collaboration avec la Police Nationale Japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI. 🎯 Nature de la menace Videostrong a intentionnellement préinstallé une backdoor (x.cpe / com.oemservice) dans le firmware de plus de 1,3 million de décodeurs Android TV (set-top boxes), ainsi que d’autres appareils IoT (dispositifs de télésanté, machines à karaoké, affichage numérique). La backdoor opère au niveau de privilège android.uid.system et se réinstalle automatiquement depuis la partition /oem/ en cas de suppression. ...

🔍 Contexte Article publié le 18 octobre 2026 sur le blog BoredHackerBlog, rédigé par un chercheur en sécurité et utilisateur Plex ayant mis en place un honeypot pour observer l’exploitation in-the-wild de vulnérabilités annoncées par Plex le 1er septembre 2026. 🛡️ Vulnérabilités exploitées Le chercheur zmain a découvert et chaîné plusieurs vulnérabilités dans Plex Media Server v1.43.2 et antérieures pour obtenir une exécution de code à distance (RCE). Les CVE associées sont : ...

🔍 Contexte Publié le 31 août 2026 par Plume Security Labs, ce rapport constitue la deuxième partie d’une série sur les réseaux de proxy résidentiels déployés sur les appareils de streaming SuperBox (Android). Il fait suite à l’analyse de Popanet (Part 1) et documente deux nouveaux SDKs malveillants ainsi que l’exploitation active des nœuds compromis. 📦 Netway SDK dans AppLinked AppLinked est une application de sideloading disponible sur le store custom de SuperBox. Elle embarque silencieusement le Netway SDK (io.netway) sans consentement utilisateur. Ce SDK : ...

📰 Source : Ars Technica (Dan Goodin), publié le 31 août 2026. L’article s’appuie sur une recherche publiée par la société de sécurité Plume, focalisée sur le lecteur multimédia SuperBox S7 Pro et son écosystème malveillant. 🎯 Contexte Face au blocage croissant du trafic malveillant par les services en ligne, les attaquants recourent massivement aux réseaux proxy résidentiels. Ces réseaux agrègent des millions de connexions domestiques pour permettre aux cybercriminels de router leur trafic via des adresses IP à bonne réputation. Les appareils de streaming proposant du contenu piraté gratuit constituent un vecteur privilégié de recrutement de ces nœuds, souvent à l’insu des utilisateurs. ...

📰 Contexte Article publié le 3 août 2026 par TechCrunch (Zack Whittaker), basé sur une recherche publiée par la société norvégienne de cybersécurité Mnemonic, conduite par Harrison Sand, consultant en sécurité offensive. 🔍 Découverte principale Plusieurs applications populaires disponibles sur le Samsung Smart TV App Store contiennent du code de proxy résidentiel (resproxy), fourni par la société israélienne Bright Data. Ces applications, dont certaines revendiquent des centaines de millions d’installations, incluent notamment un jeu Pac-Man mis en avant dans la section « Editor’s Choice » de Samsung. ...

🔍 Contexte Publié le 30 juillet 2026 sur KrebsOnSecurity, cet article s’appuie sur une analyse publiée par le chercheur Pedro Falé de la société Bitsight (équipe TRACE). L’enquête a débuté par l’enregistrement d’un domaine expiré utilisé pour coordonner une opération de fraude publicitaire à grande échelle. 🎯 Mécanisme de l’opération Les TV boxes H96 (vendues sur Amazon, Best Buy, Newegg) sont livrées avec des applications préinstallées développées par Zhejiang Fengwo IoT Technology Ltd (fondée en 2019, Chine continentale). Ces applications permettent : ...

🔍 Contexte Publié le 24 juillet 2026 par Black Lotus Labs (Lumen Technologies), cet article de recherche approfondie analyse l’écosystème mondial des proxies résidentiels malveillants, en s’appuyant sur la télémétrie du backbone IP global de Lumen et des années de suivi de botnets. 📊 Ampleur du phénomène Black Lotus Labs suit près de 20 millions d’IPs distinctes par jour réparties sur plus de 30 clusters de botnets malveillants. Plus de 20 de ces clusters dépassent régulièrement 100 000 victimes quotidiennes. Les appareils compromis incluent des routeurs IoT/SOHO, des appareils Android (via APKs backdoorés et SDKs malveillants) et des TV boxes Android. ...

🕵️ Contexte Rapport publié le 8 juillet 2026 par Infoblox, relayé par Cyber Security News et Cryptika. L’analyse documente une opération cybercriminelle active depuis au moins août 2022, attribuée au groupe Lurking Lizard, dont l’origine est présumée chinoise sur la base des données d’enregistrement de domaines. 🎯 Mode opératoire Lurking Lizard opère un écosystème complet de proxy résidentiel frauduleux : Utilisation de la technique drop-catching : acquisition de domaines expirés ayant hérité d’une réputation SEO accidentelle (ex. 7zip[.]com, référencé par erreur dans des forums pendant des années) Distribution de faux installeurs se substituant à des logiciels légitimes (7-Zip, outils de téléchargement TikTok/YouTube) Un lien IPLogger hardcodé dans les samples de malware a permis de relier l’ensemble des campagnes entre elles Les victimes installent un logiciel proxy caché qui loue leur connexion internet à des clients payants sans leur consentement 📦 Infrastructure et échelle Plus de 230 domaines identifiés, couvrant faux VPN, faux outils de téléchargement, faux sites de revue de proxy Au moins 7 domaines drop-catch liés au même acteur, certains enregistrés dès 2004 Connexions établies via : enregistrements WHOIS partagés, codes de tracking identiques, structures de serveurs backend communes 📱 Évolution vers WireVPN L’opération a évolué sous le nom WireVPN, disponible sur Apple App Store et Google Play, avec plus d’un million de téléchargements sur Android. Les tests ont révélé que l’application contacte un grand nombre d’adresses IP non liées et ouvre de multiples connexions simultanées, comportement cohérent avec un nœud de sortie proxy plutôt qu’un vrai VPN. Les applications utilisent des certificats de signature de code valides issus de sociétés enregistrées. ...