El desafío de los proxies residenciales
Los proxies residenciales representan un desafío significativo para los sistemas de reputación IP, ya que no existe una distinción clara entre atacantes y usuarios legítimos, según advierten los investigadores. Esto se debe a que dichos proxies tienen una vida útil demasiado corta, no están catalogados o son rotados sistemáticamente, lo que impide que los sistemas de defensa los registren a tiempo.
La plataforma de inteligencia en ciberseguridad GreyNoise llegó a esta conclusión tras analizar un enorme conjunto de datos de 4 mil millones de sesiones maliciosas dirigidas al perímetro de red durante un período de tres meses, junto con datos de IPInfo.io. Aproximadamente el 39% de esas sesiones parecían originarse en redes domésticas, muy probablemente parte de proxies residenciales, pero el 78% de ellas eran invisibles para las fuentes de reputación.
"Los datos revelan un patrón que desafía una suposición fundamental de la defensa de redes: que se puede distinguir a los atacantes de los usuarios legítimos según el origen del tráfico", explica GreyNoise.
Según la compañía, la mayoría de las IPs residenciales se utilizan una o dos veces y luego desaparecen, mientras que los atacantes las rotan con otras, manteniendo un ritmo que impide que los sistemas de reputación las marquen. Alrededor del 89.7% de las IPs residenciales están activas en operaciones maliciosas durante menos de un mes; solo el 8.7% dura dos meses y el 1.6% persiste tres meses. Las que se mantienen activas por más tiempo parecen especializarse en SSH y utilizan stacks TCP de Linux.
La diversidad es otro factor que complica la detección y el bloqueo: los datos de GreyNoise muestran que las IPs residenciales involucradas en ataques pertenecen a 683 proveedores de servicios de Internet. Otra razón para su sigilo es que se utilizan principalmente para escaneo de red y reconocimiento, con solo el 0.1% involucrado en explotación real. Un pequeño porcentaje (1.3%) se dirigió a páginas de inicio de sesión de VPN empresariales, y algunos casos limitados incluyeron intentos de path traversal y credential stuffing.
En cuanto al origen de los proxies residenciales, GreyNoise señala que China, India y Brasil son los principales contribuyentes, y que el tráfico sigue los patrones de sueño humanos, disminuyendo un tercio durante la noche, cuando la mayoría apaga sus dispositivos. Los investigadores informan que el tráfico de proxy residencial se genera por dos ecosistemas distintos y no superpuestos: botnets de IoT y computadoras infectadas. En el segundo caso, los proxies provienen de SDKs en VPNs gratuitas, bloqueadores de anuncios y aplicaciones similares, que inscriben los dispositivos de los usuarios en esquemas de venta de ancho de banda.
GreyNoise también destacó la resiliencia de estas redes usando el ejemplo de IPIDEA, una de las redes de proxies residenciales más grandes del mundo, que recientemente fue desarticulada por Google Threat Intelligence Group (GTIG) y sus socios. La interrupción redujo su grupo de proxies en aproximadamente un 40%, pero en el período siguiente, el tráfico de centros de datos aumentó, lo que indica que la demanda puede ser absorbida por otros cuando es necesario y que la capacidad perdida se reemplaza rápidamente.
GreyNoise afirma que las tácticas de evasión de proxies residenciales requieren abandonar la reputación IP como señal primaria y centrarse en el comportamiento. Los investigadores sugieren detectar sondeos secuenciales desde IPs residenciales rotativas, bloquear protocolos claramente ilegítimos como SMB desde el espacio ISP, y rastrear huellas dactilares de dispositivos que sobreviven a la rotación de IP.
Deja una respuesta