Residential proxies en hun grote impact op de digitale veiligheid in Nederland

Het NCSC ziet een toegenomen dreiging door de groei van de inzet van residential proxies. Een recente takedown van een botnet in een samenwerking tussen de politie en het NCSC, laat zien dat dit fenomeen een dreiging vormt voor nationale en internationale cyberveiligheid. 

Deze expertblog gaat in op deze recent waargenomen wereldwijde trend die ook raakt aan de digitale weerbaarheid van Nederland.

Wat is een residential proxy?

Een residential proxy is een tussenstation voor internetverkeer dat gebruikmaakt van het IP-adres van een bestaande, particuliere internetgebruiker. Deze IP-adressen worden door internetproviders of producenten van Internet-of-Things (IoT)-apparatuur toegewezen aan consumentenapparatuur. Daarom zijn ze geregistreerd als 'residential' (afkomstig van thuisgebruikers) in IP-databases.

Bij de inzet van een residential proxy, wordt het internetverkeer van de afnemer omgeleid via het apparaat en het netwerk van een thuisgebruiker. Hierdoor lijkt het alsof het verkeer afkomstig is van een normale consument, en niet van een geautomatiseerd systeem of server gelieerd aan de oorspronkelijke bron van het netwerkverkeer.

Een derde partij kan een netwerk van residential proxies als dienst afnemen en inzetten. Deze derde partij kan hierbij kiezen wat voor categorie nodig is, bijvoorbeeld ‘Nederlandse residential proxies’. Het aanbod is divers en schaalbaar, afhankelijk van het doel van de afnemer. 

Hoe komt een residential proxy tot stand?

Een internetverbinding kan op verschillende manieren onderdeel worden van een botnet of proxy-netwerk, dat vervolgens kan worden ingezet voor zowel legitieme als malafide doeleinden. Het NCSC onderscheidt hierbij verschillende manieren waarop residential proxies vergaard worden en onderdeel worden van een netwerk.

• Bewust vrijwillig: 
  De gebruiker installeert bewust (gratis) proxysoftware, bijvoorbeeld om geografische beperkingen te omzeilen. In ruil daarvoor verleent hij andere gebruikers van hetzelfde netwerk toegang tot zijn internetverbinding. In sommige gevallen ontvangt de gebruiker zelfs een financiële vergoeding voor het delen van zijn netwerk.
• Onbewust 'vrijwillig': 
  De gebruiker maakt gebruik van een dienst waarbij – vaak slechts vermeld in de kleine lettertjes – wordt aangegeven dat het IP-adres gedeeld of gebruikt mag worden door derden. Dit komt regelmatig voor bij (gratis) proxy- of streamingdiensten en VPN’s, waarbij de gebruiker zich er niet van bewust is dat zijn verbinding onderdeel wordt van een proxy-netwerk. Ook komt dit voor in het gebruik van applicaties – bijvoorbeeld advertenties van spelletjes om gratis artikelen te verkrijgen. 
• Onbewust en onbekend: 
  In dit geval raakt het apparaat van de gebruiker besmet met malware die een proxyfunctie installeert, zonder dat de gebruiker hier iets van merkt. Dit kan bijvoorbeeld gebeuren via vooraf geïnstalleerde malware op IoT-apparaten zoals Android-tv-boxen, of via kwetsbaarheden in IoT- of edge devices. Cybercriminelen maken gebruik van deze kwetsbaarheden om op afstand toegang te verkrijgen en het apparaat onderdeel te maken van een proxy- of botnet-infrastructuur. De gebruiker van de apparatuur is niet op de hoogte van het feit dat hun internetverbinding wordt ingezet als proxy. 

Consumenten hebben doorgaans weinig inzicht in de dreigingen die mogelijk uitgaan van hun thuisapparatuur. Hierdoor kan iemands internetverbinding zonder medeweten onderdeel van een netwerk dat bijvoorbeeld DDoS-aanvallen kan uitvoeren.

Waarom vormen residential proxies een bedreiging?

Omdat residential proxies gebruikmaken van echte, vertrouwde IP-adressen, is malafide gebruik ervan veel moeilijker te detecteren of blokkeren. Veel beveiligingssystemen en websites vertrouwen verkeer van residential proxy-IP’s meer dan verkeer van datacenters of anonieme VPN's. De residential proxies behoren immers toe aan reguliere burgers die evengoed een werknemer of klant kunnen zijn.
Residential proxies worden ingezet om anonimiteit te bewaren en geografische restricties te omzeilen. Een Nederlandse organisatie kan op deze manier aangevallen worden met Nederlandse proxies die overeenkomsten hebben met ‘gewoon’ verkeer, waardoor mitigatie van cybercriminaliteit wordt bemoeilijkt.

Inzet malafide residential proxies groeit

Het malafide gebruik van residential proxies neemt toe. Ze worden steeds vaker ingezet bij digitale aanvallen. Toepassingen van residential proxies voor malafide doeleinden zijn onder andere:

• DDoS-aanvallen:
  Residential proxies zorgen voor een ongekend groot volume om DDoS-aanvallen uit te voeren die nauwelijks meer te mitigeren zijn.
• Phishing- en spam-mails:
  Aanvallers gebruiken residential proxies om phishing- en spamcampagnes te verspreiden. Doordat de e-mails verzonden worden vanaf IP-adressen met een betrouwbare reputatie, is de kans groter dat ze door spamfilters heen komen.
• Credential-stuffing en brute-force aanvallen:
  Bij deze aanvallen proberen kwaadwillenden op grote schaal combinaties van gebruikersnamen en wachtwoorden uit. Residential proxies worden gebruikt om deze pogingen te verspreiden over duizenden verschillende IP-adressen en locaties, waardoor het lijkt alsof de inlogpogingen van echte gebruikers afkomstig zijn.
• Gebruik van gestolen credentials via een ‘legitiem’ IP-adres:
  Wanneer aanvallers beschikken over gestolen inloggegevens, gebruiken ze residential proxies om toegang te krijgen tot accounts via IP-adressen die overeenkomen met normale gebruikersactiviteit.
• Clickfraude en SMS-pumping:
  Bij clickfraude worden residential proxies ingezet om op advertenties te klikken of webverkeer te genereren vanaf ogenschijnlijk echte gebruikers.
• Malware-distributie:
  Bij het verspreiden van malware worden residential proxies gebruikt om downloads en communicatie met C2-servers te verhullen. C2-servers zijn de centrale ‘Command and Control’-computers waarmee cybercriminelen overgenomen apparaten op afstand besturen. Omdat het verkeer afkomstig lijkt van legitieme gebruikers, wordt het minder snel geblokkeerd of als verdacht gemarkeerd, wat de kans op succesvolle infecties vergroot.

Onze weerbaarheid onder druk

Het NCSC vindt dit een zorgwekkende trend. Het misbruik van residential proxies maakt het moeilijker digitale dreigingen en digitale aanvallen in kaart te brengen. Doordat de schaal van digitale aanvallen toeneemt, kan de weerbaarheid van organisaties onder druk komen te staan. Daarnaast kunnen apparaten van nietsvermoedende gebruikers onderdeel worden van dergelijke proxy-netwerken, vaak zonder dat zij zich daarvan bewust zijn. Consumenten zijn op deze manier onbewust onderdeel van cybercriminaliteit.

Het NCSC adviseert om terughoudend te zijn met het gebruik van residential proxies, zowel als afnemer van de diensten hiervoor als ook in de 'verkoop' van eigen systemen of internetverbindingen. Ook moeten consumenten, bedrijven en organisaties waakzaam zijn op consumentengoederen die mogelijk kwetsbaar zijn en zonder medeweten als proxy ingezet kunnen worden.