Wissen › Wie Profis hacken › IP-Rotation & Residential Proxies

IP-Rotation & Residential Proxies

Wie Angreifer ihre Anfragen über Millionen echter Heimanschlüsse leiten – und warum IP-Sperren dagegen wirkungslos sind.

Wie Profis hacken

Trainings-Lektion · Wie Profis hacken: Konten übernehmen Anmeldung nötig

Lies den Artikel und beantworte am Ende 9 Fragen. Erst wenn alle richtig beantwortet sind, ist die Lektion im Training erledigt und du bekommst 50 Punkte.

Zu den Fragen ↓

Die einfachste Abwehr gegen massenhafte Login-Versuche war lange: Wer zu oft falsch rät, wird anhand seiner IP-Adresse gesperrt. Profis umgehen das, indem jede Anfrage von einer anderen Adresse kommt – und zwar nicht aus einem Rechenzentrum, sondern aus ganz normalen Haushalten und Handys.

Was ein Residential Proxy ist

Ein Proxy leitet Anfragen weiter, sodass der Zielserver nur die Adresse des Proxys sieht. Bei einem Residential Proxy ist das ein Internetanschluss eines Privathaushalts oder ein Mobilgerät. Für den angegriffenen Server sieht die Anfrage damit aus wie die eines gewöhnlichen Kunden – oft sogar aus demselben Land und vom selben Provider.

Solche Netze werden offen als Dienst verkauft: Man bucht Bandbreite und bekommt bei Bedarf für jede Anfrage eine neue Adresse.

Woher die Millionen Adressen kommen

Apps mit eingebauten SDKs, die das Gerät als Proxy anmelden – laut Okta oft ohne Wissen der Besitzer.
„Proxyware“: Programme, die für ein paar Cent die eigene Bandbreite „teilen“.
Schadsoftware und Botnetze, deren Betreiber infizierte Rechner als Proxy vermieten.
Kostenlose VPN-Apps, die im Hintergrund den Anschluss des Nutzers weiterverkaufen.

Fallbeispiel

◆ Echter Fall

911 S5 (2014–2024): ein Botnetz mit 19 Millionen IP-Adressen

Wann: zerschlagen im Mai 2024
Wen: Millionen Windows-Rechner weltweit, vermietet als Proxy-Dienst
Folgen: Proxy-Netz für Betrug, Angriffe und Erpressung; Betreiber verdiente laut Anklage rund 99 Mio. US-Dollar

1
Verbreitung über Gratis-VPNs
Laut US-Justizministerium verbreitete der Betreiber seine Schadsoftware ab etwa 2014 über kostenlose VPN-Programme wie „MaskVPN“ und „DewVPN“ sowie über raubkopierte Software.
2
Vermietung der Opfer
Die infizierten Rechner wurden als Residential Proxies vermietet – mit mehr als 19 Millionen IP-Adressen in fast 200 Ländern, davon über 600.000 in den USA.
3
Was die Kunden damit machten
Nach Angaben der Ermittler nutzten Kunden das Netz unter anderem für Betrug mit Corona-Hilfsprogrammen – die Behörden schätzen den Schaden auf 5,9 Mrd. US-Dollar –, für Bestellungen mit gestohlenen Kreditkarten und für Bombendrohungen.
4
Festnahme
Im Mai 2024 wurde der mutmaßliche Betreiber in Singapur festgenommen, die Infrastruktur mit Dutzenden Servern und Domains beschlagnahmt.

Die Lehre: Hinter einer „harmlosen“ Privatkunden-IP kann jeder stecken. Wer Vertrauen an der IP-Adresse festmacht, vertraut am Ende einem Botnetz.

Aktuell: Login-Wellen über Proxy-Netze

Im April 2024 warnte der Identitätsanbieter Okta vor einer sprunghaften Zunahme von Credential-Stuffing-Angriffen. Millionen Anfragen liefen über Residential Proxies und Tor; der größte Teil des Verkehrs stammte von Mobilgeräten und Browsern gewöhnlicher Nutzer. Fast zeitgleich meldete Cisco Talos weltweite Brute-Force-Wellen gegen VPN-Zugänge, Web-Logins und SSH – ebenfalls über Tor und Proxy-Dienste, wahllos gegen alle Branchen.

Woran du es erkennst

Fehlgeschlagene Logins verteilen sich auf sehr viele IP-Adressen mit jeweils nur ein, zwei Versuchen.
Die Adressen gehören zu Privat- und Mobilfunkprovidern verschiedener Länder, passen aber nicht zu den eigenen Nutzern.
Die Anfragen ähneln sich trotzdem: gleicher Ablauf, gleiche Zeitabstände, gleiche Browser-Kennung.
Ein Nutzer meldet sich innerhalb von Minuten aus weit entfernten Orten an („unmögliche Reise“).

Was wirklich hilft

Grenzen pro Konto und eine globale Obergrenze für Fehlversuche – nicht nur pro IP.
Zwei-Faktor-Anmeldung: Gegen sie hilft keine IP-Rotation.
Bekannte Anonymisierungsdienste vor der Anmeldung blockieren oder strenger prüfen, wo das für die eigenen Nutzer vertretbar ist.
Auffällige Muster über alle Konten hinweg auswerten statt einzelner Adressen.

◆ In TYPO3 beachten

Worauf du in TYPO3 achten musst

Für TYPO3 bedeutet das vor allem: Das eingebaute Login-Limit allein reicht nicht.

Der Rate-Limiter zählt pro IP

TYPO3 (seit 11.3) begrenzt fehlgeschlagene Logins je IP-Adresse: standardmäßig 5 im Backend und 10 im Frontend in 15 Minuten. Bei IP-Rotation bekommt jede neue Adresse wieder ihr volles Kontingent.

$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimit'] = 5;
$GLOBALS['TYPO3_CONF_VARS']['BE']['loginRateLimitInterval'] = '15 minutes';

Backend nicht für die ganze Welt öffnen

Wo es organisatorisch geht, ist /typo3/ nur aus dem Firmennetz, über VPN oder eine IP-Allowlist im Webserver erreichbar. Dann spielt es keine Rolle, wie viele Adressen ein Angreifer hat.

MFA ist die eigentliche Antwort

Mit $GLOBALS['TYPO3_CONF_VARS']['BE']['requireMfa'] wird der zweite Faktor Pflicht. Ein erratenes oder geleaktes Passwort führt dann nicht mehr ins Backend.

Trainings-Lektion abschließen

Lektion abschließen: 9 Fragen beantworten

Anmeldung nötig · +50 Pkt

Diese Lektion („IP-Rotation & Residential Proxies“) gilt im Training erst als erledigt, wenn du alle 9 Fragen zu diesem Artikel richtig beantwortet hast – von leicht bis knifflig. Dafür gibt es 50 Punkte. Dafür brauchst du ein Konto, damit dein Fortschritt gespeichert wird.

Anmelden & Fragen beantworten

Weiter im Wissen

Credential Stuffing & Password Spraying →Social Engineering am Helpdesk →

Quellen & weiterlesen

Jetzt interaktiv üben →