Google Threat Intelligence Group (GTIG), en colaboración con varios socios del sector, ha logrado esta semana un golpe significativo contra el cibercrimen organizado al interrumpir la infraestructura de IPIDEA, una de las mayores redes de proxies residenciales utilizadas por actores maliciosos a escala global. La operación incluyó la retirada de dominios clave, la desactivación de sistemas de gestión de dispositivos infectados y el bloqueo de rutas de tráfico proxy, además de la difusión de inteligencia técnica sobre los kits de desarrollo (SDK) empleados para propagar la amenaza.
IPIDEA se presentaba públicamente como un servicio VPN legítimo que prometía “cifrar el tráfico online y ocultar la dirección IP real del usuario”. Bajo esa apariencia, la plataforma aseguraba contar con 6,7 millones de usuarios en todo el mundo. Sin embargo, según las investigaciones de Google, esta red funcionaba en realidad como un gigantesco intermediario criminal que permitía a cientos de grupos de amenazas ocultar sus actividades tras direcciones IP domésticas y de pequeñas empresas comprometidas.
Proxies residenciales: el camuflaje perfecto para el delito digital
Las redes de proxies residenciales se apoyan en direcciones IP legítimas —procedentes de hogares o pequeños negocios— para redirigir tráfico malicioso. A diferencia de los servidores en centros de datos, estas IP resultan mucho más difíciles de bloquear sin afectar a usuarios legítimos, lo que las convierte en una herramienta especialmente valiosa para los atacantes.
En la mayoría de los casos, la infección se produce a través de aplicaciones troyanizadas que se hacen pasar por utilidades inofensivas: gestores de archivos, herramientas de optimización o servicios VPN gratuitos. Una vez instaladas, estas aplicaciones convierten el dispositivo en un nodo de salida sin que el usuario lo sepa ni haya dado su consentimiento explícito.
En una carta remitida a un tribunal, Google detalla que los proxies residenciales son utilizados de forma habitual en actividades como secuestro de cuentas, creación masiva de perfiles falsos, robo de credenciales y exfiltración de información sensible. “Al enrutar el tráfico a través de una gran variedad de dispositivos de consumo repartidos por todo el mundo, los atacantes pueden ocultar su actividad maliciosa secuestrando estas direcciones IP”, explica la compañía. El resultado es un enorme desafío para los equipos de defensa, que ven cómo los indicadores tradicionales pierden eficacia.
Más de 550 grupos criminales en una sola semana
El caso de IPIDEA destaca por su escala. GTIG observó que, en apenas una semana, más de 550 grupos de amenazas distintos utilizaron nodos de salida de esta red. Entre ellos se encontraban actores vinculados a China, Irán, Rusia y Corea del Norte, lo que subraya el carácter global y geopolíticamente diverso del uso de esta infraestructura.
Las actividades detectadas incluyen accesos no autorizados a plataformas SaaS corporativas, ataques de password spraying, control de botnets y técnicas avanzadas de ocultación de infraestructura. Investigaciones previas de Cisco Talos ya habían vinculado IPIDEA con campañas masivas de fuerza bruta dirigidas contra servicios VPN y SSH, confirmando su papel como proveedor clave para operaciones de alto impacto.
Además, la infraestructura de IPIDEA dio soporte a botnets de denegación de servicio distribuido (DDoS) de dimensiones récord, como Aisuru y Kimwolf, responsables de saturar servicios online con volúmenes de tráfico sin precedentes.
Miles de apps y binarios troyanizados
Uno de los aspectos más preocupantes de la investigación es la forma en que IPIDEA reclutaba dispositivos. Google identificó al menos 600 aplicaciones Android troyanizadas que incorporaban SDK de proxy como Packet SDK, Castar SDK, Hex SDK o Earn SDK. Estas apps se distribuían como software funcional, pero en segundo plano añadían el dispositivo a la red de proxies.
En el entorno Windows, el alcance no fue menor: más de 3.000 binarios maliciosos se hacían pasar por herramientas como OneDriveSync o incluso actualizaciones del propio sistema operativo. Una vez ejecutados, establecían comunicación con la infraestructura de mando y control de IPIDEA.
La estrategia comercial también incluía la promoción de aplicaciones VPN y de proxy para Android que, de forma encubierta, transformaban los teléfonos de los usuarios en nodos de salida. El servicio ofrecido funcionaba —el usuario obtenía acceso VPN—, pero el precio oculto era ceder parte de su conexión y reputación digital al ecosistema criminal.
