Die Google Threat Intelligence Group (GTIG) hat gemeinsam mit weiteren Akteuren eines der weltweit größten bösartigen Residential-Proxy-Netzwerke zerschlagen. Im Zentrum stand IPIDEA – ein Dienstleister, der Millionen kompromittierter Endgeräte zu einer Infrastruktur bündelte, die von Cyberkriminellen bis hin zu staatlich unterstützten Akteuren genutzt wurde.

Foto: Google John Hultquist, Chefanalyst der Google Threat Intelligence Group Die Ermittlungen zeichnen das Bild eines professionell organisierten Marktplatzes für missbrauchte Internetanschlüsse. IPIDEA verschaffte sich unerlaubten Zugriff auf Smartphones, Set-Top-Boxen und Desktop-PCs und fungierte als Vermittler für zahlreiche Botnetze. Hunderte Hackergruppen nutzten die Infrastruktur, um Aktivitäten wie Cyberkriminalität, Spionage, Advanced Persistent Threats (APT) und Informationsoperationen zu verschleiern – aus unterschiedlichen Weltregionen, darunter China, Nordkorea, Iran und Russland.

Google leitete rechtliche Schritte ein, um die Verwaltungsinfrastruktur des Netzwerks abzuschalten, und teilte technische Erkenntnisse mit anderen Plattformanbietern. Parallel wurde Google Play Protect aktualisiert: Nutzer werden automatisch vor Apps gewarnt, die IPIDEA-Code enthalten; auf zertifizierten Android-Geräten werden diese Anwendungen entfernt und künftige Installationen blockiert.

„Residential Proxys sind zu einem weit verbreiteten Werkzeug für alles geworden – von hochkarätiger Spionage bis hin zu massiven kriminellen Machenschaften. Angreifer leiten den Datenverkehr über die private Internetverbindung einer Person, wodurch sie sich verstecken und gleichzeitig unbemerkt in Unternehmensumgebungen eindringen können. Indem wir die Infrastruktur, die zum Betrieb des IPIDEA-Netzwerks genutzt wurde, lahmgelegt haben, haben wir einem globalen Marktplatz effektiv die Grundlage entzogen, der den Zugang zu Millionen gehackter Endgeräte verkauft hat.“
— John Hultquist, Chefanalyst der Google Threat Intelligence Group

Zweigleisige Infektion: Monetarisierungskits und „Geld verdienen“-Apps

IPIDEA setzte auf einen zweiteiligen Ansatz. In einem Szenario zahlten Proxy-Betreiber App-Entwicklern Geld dafür, Code zur „Monetarisierung“ in populäre Spiele und Hilfsprogramme einzubauen. Nach dem Download wurde das jeweilige Gerät im Hintergrund Teil des Netzwerks. Diese Kits wurden als Einnahmequelle beworben und boten Kompatibilität mit Android, Windows, iOS und WebOS.

Parallel veröffentlichte IPIDEA eigene Anwendungen, die Endnutzer direkt ansprachen – mit dem Versprechen, „schnell Geld zu verdienen“. Das Unternehmen warb offen damit, Verbraucher für die Installation zu bezahlen und ihre „ungenutzte Bandbreite“ zu nutzen. Die Marken von IPIDEA wurden zudem intensiv in Untergrundforen vermarktet, insbesondere an Akteure, die schwer rückverfolgbare Angriffe durchführen wollen. Der Zugriff auf die kompromittierten Geräte wurde anschließend über verschiedene Proxy- und VPN-Dienste an Dritte verkauft.

Ein globaler grauer Markt – und neue Risiken für Heimnetze

GTIG identifizierte Millionen von Geräten, die zusammen einen weltweiten „grauen Markt“ für abgefangene Bandbreite bildeten. Da der Datenverkehr über reale Internetanschlüsse von Privathaushalten läuft, erscheinen Angriffe wie legitimer privater Traffic. Bösartige Aktivitäten mischen sich mit normalem Heimnetzwerkverkehr – ein Umstand, der Erkennung und Blockierung für Sicherheitsteams erheblich erschwert. Zudem können Angreifer ihre Operationen ständig verlagern, indem sie zwischen kompromittierten Endgeräten wechseln.

Die Auswirkungen gehen über reine Bandbreitennutzung hinaus: Die installierte Software kann als digitale Hintertür dienen und Kriminellen Zugang zu weiteren Geräten im selben WLAN ermöglichen, etwa zu Laptops, Kameras oder Smart-Home-Komponenten.

Staatliche Akteure auf derselben Infrastruktur

Wie brisant die Lage ist, zeigen aktuelle Beobachtungen: In einer einzigen Woche im Januar 2026 wurden staatlich geförderte Akteure aus China, Russland, Iran und Nordkorea dabei ertappt, diese spezifische Infrastruktur zu nutzen, um in SaaS-Umgebungen einzudringen und Passwort-Spraying-Angriffe zu starten.

Der veröffentlichte Bericht enthält neben einer technischen Analyse auch eine Liste betroffener Software Development Kits (SDKs) sowie konkrete Indikatoren für Kompromittierungen. Für Unternehmen unterstreicht der Fall die Notwendigkeit, anomalen Datenverkehr ernst zu nehmen – selbst dann, wenn er scheinbar von gewöhnlichen privaten Internetanschlüssen stammt.