Google联手打击全球最大住宅代理网络IPIDEA

【2026 年 1 月 28 日】——Google 宣布，与多家合作伙伴联合采取行动，成功打击并大幅削弱其认定为“全球最大住宅代理网络”之一的 IPIDEA 代理生态。此次行动由 Google Threat Intelligence Group（Google 威胁情报团队，简称 GTIG）主导，结合法律措施、技术封堵与生态协同，针对 IPIDEA 长期滥用住宅 IP 资源、被大规模恶意活动利用的问题进行集中整治。

多方协同打击，重创 IPIDEA 代理网络

根据 Google 披露的信息，本轮行动包含三项核心举措：

1. 法律手段下架控制域名
   Google 与合作伙伴通过法律程序，对用于控制设备、下发指令以及中转代理流量的关键域名发起诉讼和下架行动。相关域名的暂停或回收，直接切断了部分控制链路，阻断了大量设备继续为 IPIDEA 网络提供代理服务。
2. 共享技术情报，推动生态层面联防联控
   GTIG 将在调查中获取的 IPIDEA 相关软件开发工具包（SDK）、代理软件特征、基础设施情报，与平台提供方、执法机构及安全研究机构共享，帮助各方识别与封堵这类恶意 SDK。
   这些 SDK 被发现存在于多个移动和桌面平台，且往往被悄然嵌入第三方应用，用户在毫不知情的情况下即被“拉入”代理网络。通过情报共享，更多平台方得以在自身生态中提前识别并清除相关组件。
3. 在 Android 生态中自动清理相关应用
   在 Android 平台上，Google Play Protect 已经开始自动检测并警告使用了 IPIDEA 相关 SDK 的应用程序，对已安装的恶意或可疑应用进行移除，并阻止用户未来安装。
   Google 表示，这一措施显著压缩了 IPIDEA 在移动端的设备池规模，为普通用户提供了一道关键的安全防线。

“我们相信，这次联合行动已经让 IPIDEA 住宅代理网络及其相关业务遭受了实质性打击，可用设备规模减少达数百万台。”GTIG 在公告中表示，“鉴于住宅代理运营商之间存在复杂的转售与合作关系，我们预计此次行动也将对多个关联实体产生连锁影响。”

你可能需要：10个最佳IPIDEA住宅代理替代方案推荐

住宅代理被大规模滥用：从僵尸网络到国家级威胁

住宅代理网络与传统数据中心代理不同，其流量通过由互联网服务提供商分配的、原本用于住宅或小微企业的真实 IP 地址转发。由于这类 IP 在日常网络环境中高度可信，攻击者可以借此掩盖自身来源，绕过大量安全检测与风控规则。

GTIG 指出，一个“成熟”的住宅代理网络通常需要掌控 数百万个住宅 IP 地址，才能对外销售稳定的大规模代理能力。为此，运营方需要在大量消费者设备上运行代理代码，常见方式包括：

• 通过预装软件或固件，在电视盒子等设备中内置代理组件；
• 通过“带宽变现”“赚钱 APP”等形式，诱导用户主动安装带有代理 SDK 的应用；
• 以 SDK 形式向应用开发者推广，将代理代码悄然嵌入原本与代理无关的应用中。

在对 IPIDEA 活动的监测中，GTIG 发现其住宅代理网络已被广泛用于多种恶意行为，包括：

• 大规模撞库和弱口令密码喷射攻击；
• 对企业 SaaS 环境和本地基础设施进行未授权访问尝试；
• 控制僵尸网络并实施进一步入侵。

IPIDEA 的代理基础设施还在多个已知僵尸网络中扮演关键角色，例如此前 Google 曾通过法律行动打击的 BadBox 2.0 僵尸网络，以及近期曝光的 Aisuru 和 Kimwolf 僵尸网络。

在一项为期一周的观测中，GTIG 统计到 超过 550 个威胁团伙 使用被标记为 IPIDEA 出口节点的 IP 地址进行活动，其中包括来自中国、朝鲜、伊朗和俄罗斯等国家和地区的间谍、网络犯罪及信息行动团体。

关联多家代理与 VPN 品牌，构成庞大隐秘生态

Google 的调查显示，IPIDEA 并非一个孤立的代理品牌，其背后运营方同时掌控多个对外宣传“独立运营”的住宅代理及 VPN 服务。这些对外品牌包括但不限于：

• 360 Proxy（360proxy.com）
• 922 Proxy（922proxy.com）
• ABC Proxy（abcproxy.com）
• Cherry Proxy（cherryproxy.com）
• Door VPN（doorvpn.com）
• Galleon VPN（galleonvpn.com）
• IP 2 World（ip2world.com）
• Ipidea（ipidea.io）
• Luna Proxy（lunaproxy.com）
• PIA S5 Proxy（piaproxy.com）
• PY Proxy（pyproxy.com）
• Radish VPN（radishvpn.com）
• Tab Proxy（tabproxy.com）

同时，同一批运营者还控制着多个所谓“带宽变现”SDK 品牌，用于吸引开发者接入，其典型代表包括：

• Castar SDK（castarsdk.com）
• Earn SDK（earnsdk.io）
• Hex SDK（hexsdk.com）
• Packet SDK（packetsdk.com）

这些 SDK 并非面向终端用户，而是专门面向应用开发者推广。开发者只需将 SDK 嵌入自己的应用，即可在每次应用安装后获得一定分成收益。但与此同时，含有 SDK 的应用会在后台将用户设备悄然纳入 IPIDEA 住宅代理网络，作为“出口节点”对外出售带宽和 IP 使用权。

Google 的技术分析显示，部分恶意应用根本没有向用户清晰披露其代理功能，甚至存在预装在“非认证”或“山寨” Android 设备（如某些电视盒子）的情况，用户完全不知自己的设备正被用作攻击他人的“跳板”。

技术剖析：两层 C2 架构与设备控制模式

在对包含 IPIDEA SDK 的应用和独立 SDK 文件进行静态与动态分析后，GTIG 披露了该代理网络的核心控制架构：

• 两层 C2 模型（命令与控制体系）
  • 第一层（Tier One）：设备启动后，会从预设域名列表中选择一个进行连接，并上报系统版本、设备型号、应用信息等诊断数据；服务器则返回包括第二层节点列表在内的数据包。
  • 第二层（Tier Two）：应用随后直接与返回的 IP 地址建立长连接，周期性轮询获取代理任务，当接收到任务后，便通过该连接转发外部流量。

这一设计使得 IPIDEA 能够快速调整和轮换节点，同时隐藏真实控制结构，增加安全研究与执法追踪的难度。

对普通用户与开发者的风险提醒

Google 在公告中强调，住宅代理网络不仅对被攻击的目标构成威胁，同样也对“无辜参与者”——即那些设备被悄然接入网络的普通用户——造成严重风险：

• IP 被滥用导致账号受限或封禁：
  当恶意行为通过某个家庭 IP 发起，该 IP 可能被网站或服务商列入黑名单，导致该家庭的正常访问遭到限制。
• 家庭网络隐私与安全被暴露：
  代理程序可能允许外部流量进入用户网络，使攻击者有机会扫描和攻击同一局域网内的其他设备，放大安全隐患。
• 设备性能和带宽被悄然占用：
  在某些案例中，代理程序不仅“借用”用户的带宽，还存在主动向设备发送恶意流量、尝试进一步控制设备的行为。

针对应用开发者，GTIG 也发出警告：在缺乏透明告知和安全评估的情况下，为短期收益而集成“带宽变现”“住宅代理 SDK”，可能使应用沦为恶意基础设施的一部分，同时承担法律与合规风险。

行业信号：黑灰产住宅代理生态面临更高执法压力

业内分析指出，Google 此次对 IPIDEA 的集中打击，传递出几个重要信号：

1. 大型平台将更积极介入“基础设施级”黑灰产治理
   住宅代理网络长期处于灰色地带，部分服务方公开强调“隐私”“解封”“跨境访问”等卖点，但具体 IP 来源和用例却缺乏透明度。本次行动表明，当此类网络被大规模用于网络犯罪与信息战时，大型平台与安全厂商将不再仅仅被动封堵单个 IP，而是直接对整个网络生态展开追踪与打击。
2. “带宽变现”与“住宅代理 SDK”模式将受到更严格审查
   以 SDK 为载体、通过应用分发代理代码的模式，未来可能面临更多平台政策和合规红线。应用商店、移动操作系统厂商以及监管机构，预计将加大对相关 SDK 的审查力度。
3. 下游用户及黑灰产团伙成本上升
   那些依赖大规模住宅 IP 进行账号注册、广告欺诈、诈骗运营、批量抓取等行为的团伙，将对核心基础设施的依赖暴露无遗。本次对 IPIDEA 的打击将迫使其寻找新的代理来源，操作成本和风控风险显著提升。

Google：将持续推动更安全的数字生态

Google 表示，本次对 IPIDEA 的行动，是其在全球范围内打击恶意基础设施、保护用户安全的一部分。未来，公司将继续与执法机构、安全社区以及其他技术平台保持合作，对类似大规模滥用住宅 IP 的网络进行监测、披露和打击。

“住宅代理本身是一项中立技术，但当其成为数百个威胁团伙的共同基础设施时，平台有责任介入治理。”GTIG 在文章结语中写道，“通过与业界合作伙伴开展联合行动，我们希望推动整个生态朝着更加透明、更加负责任的方向发展。”