Des réseaux de proxy résidentiels au service du cybercrime
Le démantèlement récent du botnet SocksEscort, alimenté par le malware AVrecon, révèle l’ampleur d’un phénomène en pleine expansion : l’utilisation de réseaux de proxy résidentiels comme infrastructure d’attaque.
Comment fonctionnent ces infrastructures criminelles
Les cybercriminels infectent des routeurs domestiques et des objets connectés avec des malwares spécialisés. Chaque appareil compromis devient un nœud de proxy louable sur des places de marché clandestines :
- Anonymisation : le trafic malveillant provient d’adresses IP résidentielles légitimes
- Contournement des blocages : les listes noires d’IP deviennent inefficaces
- Crédibilité : les campagnes de phishing paraissent authentiques
- Résilience : la nature distribuée rend le démantèlement complexe
Les faux VPN d’entreprise : une menace émergente
Une nouvelle campagne utilise de faux sites de téléchargement VPN d’entreprise pour voler des identifiants professionnels. Les attaquants créent des copies convaincantes de portails VPN et les promeuvent via des publicités ciblées.
L’impact sur les entreprises françaises
- Détection plus difficile : les SIEM peinent à distinguer le trafic proxy du trafic légitime
- Credential stuffing amplifié : les identifiants volés sont testés depuis des IP résidentielles françaises
- Supply chain compromise : un seul employé piégé par un faux VPN peut ouvrir l’accès au réseau entier
Recommandations de protection
- Déployer l’authentification multifacteur (MFA) sur tous les accès VPN
- Utiliser des solutions de détection d’anomalies comportementales
- Former les équipes à vérifier systématiquement les URLs des portails VPN
- Surveiller les connexions depuis des IP résidentielles inhabituelles
- Segmenter le réseau pour limiter l’impact d’un compte compromis