Cada vez más difíciles de detectar debido al uso de redes de proxies residenciales. Estos servicios permiten que los atacantes enruten el tráfico malicioso a través de conexiones domésticas comunes, haciendo que su actividad parezca provenir de un dispositivo hogar convencional en lugar de un servidor criminal, lo que dificulta enormemente la labor de los equipos de seguridad.

Cada vez es más difícil atrapar a los hackers, y las redes de proxies residenciales son una de las razones principales. Estos servicios permiten que los atacantes redirijan el tráfico malicioso a través de conexiones domésticas cotidianas, haciendo que la actividad parezca provenir de un dispositivo familiar normal en lugar de un servidor criminal.

Los equipos de seguridad están luchando por mantenerse al día a medida que esta técnica se vuelve más común. Un proxy residencial funciona enviando el tráfico a través de dispositivos de consumidores reales, como routers domésticos, teléfonos móviles y dispositivos IoT.

A diferencia de una VPN comercial, que indica al destino que la conexión está oculta, un proxy residencial hace que el tráfico parezca provenir de un usuario doméstico genuino. Eso es exactamente lo que lo hace tan peligroso y difícil de detectar.

Investigadores de Infoblox examinaron los proxies residenciales en sus redes de clientes en la nube y encontraron resultados alarmantes.

Según un informe de Infoblox , más del 65% de sus clientes de la nube realizaban conexiones a servicios de proxy residenciales.

El equipo observó que el tráfico DNS hacia dominios relacionados con proxies creció desde aproximadamente 300 mil millones de consultas mensuales a principios de 2025 a más de 500 mil millones mensuales para abril de 2026.

La escala del problema sorprendió incluso a los analistas más experimentados. El tráfico de proxy residencial apareció en cada sector industrial examinado, afectando al menos al 40% de los clientes en cada sector.

Empresas farmacéuticas, de alimentación y bebidas, electrónica, industriales y sanitarias mostraron un uso intenso de proxies, lo que plantea serias dudas sobre cuán profundamente se han integrado estos servicios dentro de los entornos empresariales.

Lo que hace que la situación sea más complicada es que no todo el uso de proxies residenciales es intencionado.

Con frecuencia, los dispositivos se inscriben en redes de proxies sin el conocimiento del propietario, a menudo a través de aplicaciones de streaming gratuitas, extensiones de navegador o kits de software incluidos en aplicaciones populares. La línea entre el uso voluntario y la explotación silenciosa es difusa, creando puntos ciegos de seguridad reales para quienes defienden la red.

Abusan de las redes de proxies residenciales

Los actores de amenazas valoran los proxies residenciales porque otorgan al tráfico malicioso un disfraz limpio. Los sistemas de reputación de IP están diseñados principalmente para marcar las IP de centros de datos y fuentes de amenazas conocidas, pero una IP doméstica de un proveedor de servicios de internet (ISP) legítimo suele pasar esos controles sin problemas.

Esto permite que los atacantes lleven a cabo ataques de relleno de credenciales (credential stuffing), robo de cuentas, fraude publicitario y reconocimiento, mientras se ocultan tras un dispositivo doméstico real.

Un caso notable involucra a un servicio llamado Gress, que convierte el ancho de banda no utilizado en recompensas y paga a los usuarios con tokens de criptomonedas.

Se informó que Gress fue encontrado preinstalado en dispositivos de streaming de Android TV, inscribiendo a los usuarios en la red de proxies sin que se dieran cuenta.

Otro servicio, Honeygain, paga a los usuarios por compartir su IP residencial como punto de salida de proxy y también gestiona un producto llamado CrBuzz que dona una parte de los ingresos a la caridad.

Infoblox también observó un pico sorprendente vinculado a un dominio de orquestación específico utilizado por redes de proxies. En un solo día de enero de 2025, el número de redes de clientes que consultaban ese dominio aumentó en más de 250, una anomalía que los expertos en proxies no pudieron explicar fácilmente.

Ese pico coincidió estrechamente con las medidas tomadas contra IPIDEA, un importante servicio de proxy, lo que sugiere que el tráfico desplazado se redistribuyó rápidamente entre otros proveedores.

Por qué la detección es difícil y qué pueden hacer las organizaciones

Detectar el tráfico de proxy residencial es difícil porque está diseñado para camuflarse. El tráfico llega desde direcciones IP domésticas reales vinculadas a ISPs legítimos, por lo que las listas de bloqueo tradicionales y los filtros de geolocalización ofrecen una protección limitada.

Las políticas de filtrado de contenido también se aplican de manera desigual, ya que los dominios maliciosos pueden manejarse de forma diferente según la configuración de seguridad de cada organización.

Infoblox recomienda que los defensores utilicen DNS Protectivos para bloquear las consultas a dominios de orquestación de proxies conocidos, que funcionan de manera similar a la infraestructura de comando y control en las campañas tradicionales de malware.

Tú y tu equipo también deberíais auditar los registros de consultas DNS en busca de tráfico hacia dominios de proxy conocidos y revisar las extensiones del navegador y las aplicaciones de consumo en los dispositivos corporativos para detectar SDK de proxy integrados.

Verificar las direcciones IP contra recursos externos que rastrean el uso de proxies residenciales puede ayudar a sacar a la luz una exposición que, de otro modo, pasaría desapercibida.

Los proxies residenciales ya no son una herramienta de nicho reservada para un pequeño grupo de actores sofisticados. Ahora están integrados en aplicaciones cotidianas utilizadas por millones de personas, y las organizaciones que pasen por alto este riesgo se enfrentan a una brecha significativa en sus defensas.

Tipo	Indicador	Descripción
Dominio	ipidea[.]net	Dominio de orquestación asociado con el servicio de proxy residencial IPIDEA, marcado por Infoblox
Dominio	ipinfo[.]io	Dominio consultado por redes de clientes en relación con la actividad de reconocimiento de proxies

Nota: Las direcciones IP y los dominios han sido desactivados intencionadamente (ej. [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-residential-proxy-networks/