Le réseau de proxys résidentiels NetNut n’est plus. Après SocksEscort et Ipidea, c’est le troisième qui tombe depuis le début de l’année.

Le réseau de proxies résidentiels NetNut n'est plus. Après SocksEscort et Ipidea, c'est le troisième qui tombe depuis le début de l'année.

Cyber criminals were able to rent the SocksEscort botnet for various illegal activities, including ransomware attacks and distribution of child sexual ...

Read more

AVrecon is a modular router-targeting malware that scans for exposed services and exploits RCE, command injection, and SOAP flaws to convert home and SOHO routers into proxy nodes. Law enforcement linked AVrecon to the SocksEscort residential proxy service, which sold access to roughly 369,000 compromised devices used for banking fraud, ad...

In a recent FBI FLASH alert, cybersecurity authorities have revealed an alarming surge in AVrecon malware targeting routers and IoT devices worldwide. This malicious software, actively deployed by the SocksEscort network, is compromising home and small-office devices, turning them into part of a massive residential proxy network. Experts are warning that unpatched or end-of-life devices are particularly vulnerable, raising urgent security concerns for both individuals and organizations.

The SocksEscort proxy network allowed cybercriminals to purchase access to routers infected with malware, which they used to conceal their location and IP addresses.

YouTube video by CyberScoop

 Federal and regional police units, working alongside independent digital security experts, took down the SocksEscort hacking infrastructure. This setup used hacked gateway gadgets - infected by AVRecon - to route illicit online traffic through hidden channels.  A team at Black Lotus Labs, under Lumen Technologies, aided the takedown operation together with officials from the U.S. Department of Justice. Over multiple years, authorities found the proxy system kept around twenty thousand compromised gadgets active weekly - revealing both reach and staying power.  SocksEscort first came into view back in 2023, though signs point to activity stretching well beyond ten years. Operation relied on offering entry to seemingly legitimate IP addresses - pulled from home and office network devices. Because these connections appeared ordinary, users could mask malicious data flows under normal ISP cover. Detection tools often failed, misled by the everyday digital footprint left behind.  By early 2026, authorities reported the system had provided entry to vast numbers of IP addresses across its lifespan. Nearly 8,000 compromised routers remained operational at that point. Within the U.S., roughly a quarter of those devices were found scattered throughout the country. Though focused on one case, the ripple effects touched various forms of monetary misconduct.  A trail led authorities to connect SocksEscort with nearly $1 million siphoned from digital wallets belonging to someone in New York. Separate findings showed about $700,000 lost due to deceptive schemes targeting an industrial company based in Pennsylvania. Victims among American military personnel also faced damage after personal banking records were breached, adding further strain.  Dozens of domains and servers linked to the network were seized across Europe through joint efforts steered by Europol. Backing came from law enforcement agencies in Austria, France, and the Netherlands. Around $3.5 million in digital currency was blocked during the course of the mission. What powered the entire operation was AVRecon, a form of malicious software aimed at Linux-run home and small office routers.  By June 2023, it had taken hold on over seventy thousand machines, forming a vast network of hijacked devices. This network served one purpose: strengthening the reach of SocksEscort. Analysts found something unusual - none of the affected IPs showed up in unrelated botnet activity, pointing toward tightly managed usage. Despite setbacks during early 2023 that briefly disrupted operations through severed command channels, the group managed recovery by reconstructing systems. Control returned via decentralized nodes rather than a single hub. Activity restarted months afterward with modified communication pathways.  Early in 2025, more than 280,000 distinct IP addresses got caught up in the activity. Although infections spread globally, those based in the U.S. and the U.K. stood out - due to their appeal in hiding harmful network behavior. Outdated routers should be swapped out, many professionals suggest. Firmware updates come next on the list for staying protected. Default login details? Better revise them promptly. Remote functions that go unused tend to invite trouble - shutting those off helps block intrusions. Reducing exposure often begins with these small shifts.  A single operation reveals how digital crime groups using hidden relay systems are expanding their reach. Global teamwork across borders proves essential to weaken such operations.

On 11 March 2026, Europol in collaboration with law enforcement agencies from Austria, France, the Netherlands, and the United States, alongside Eurojust, executed Operation Lightning. This coordinate

Με τη χρήση του κακόβουλου λογισμικού AVrecon, οι χάκερ εκμεταλλεύονταν δρομολογητές γνωστών εταιρειών για να κρύβουν εγκληματικές δραστηριότητες εκατομμυρίων ευρώ.

Europol und internationale Partner haben in der „Operation Lightning“ ein Botnetz mit Hunderttausenden infizierten Routern und IoT-Geräten zerschlagen. Das Netz bot Cyberkriminellen weltweite Anonymität für ihre Angriffe als Proxy-Dienst „SocksEscort“ Europol hat gemeinsam mit internationalen Partnerbehörden den bösartigen Proxy-Dienst „SocksEscort“ zerschlagen. Dieser Dienst nutzte ein Botnetz aus kompromittierten Routern und IoT-Geräten, das über Schwachstellen in den Geräten aufgebaut wurde. Cyberkriminelle konnten ihre Verbindungen über diese infizierten Systeme leiten und so ihre wahre Identität und ihren Standort verschleiern. Die koordinierte Aktion wurde als „Operation Lightning“ durchgeführt. Botnetz mit über 369.000 Router... Der Beitrag Europol: Krimineller Proxy-Dienst mit 370.000 Router und IoT-Geräten lahmgelegt  erschien zuerst auf B2B Cyber Security.

**Du Pentagone qui sélectionne ses IA selon leurs biais politiques à la Commission européenne qui déguise l'affaiblissement du RGPD en simplification technique, une même logique opère : redéfinir discrètement les règles du jeu plutôt que les changer ouvertement.** The Download: how AI is used for military targeting, and the Pentagon’s war on ClaudePlus: an ex-DOGE staffer has been accused of stealing social security data.MIT Technology ReviewThomas MacaulayLes autorités démantèlent Socksescort et son réseau proxy de modems infectés - NextNextAlexandre LaurentDigital Omnibus: EU DPAs reject many proposed changes to the GDPRThe independent authorities reject many of the European Commission’s proposals in the Digital Omnibusnoyb.eu Ces sept affaires dessinent une cartographie troublante des nouvelles stratégies de pouvoir numérique. Elles révèlent comment États et entreprises contournent systématiquement les mécanismes démocratiques pour imposer leurs agendas. EFF Launches New Fight to Free the LawEFF has filed a new lawsuit against the Consumer Product Safety Commission (CPSC) to ensure that the public has full access to the laws that govern us.Our client Public.Resource.Org (Public Resource), a tiny non-profit founded by open records advocate Carl Malamud, has a mission that’s both simple…Electronic Frontier FoundationCorynne McSherry La redéfinition technique devient l'arme de choix. Le Pentagone rejette Claude d'Anthropic pour ses 'préférences politiques intégrées' tout en adoptant ChatGPT et Grok pour l'aide à la décision létale. La Commission européenne tente de faire passer des restrictions majeures du RGPD pour de simples 'ajustements techniques'. Dans les deux cas, des choix politiques majeurs sont présentés comme des décisions purement techniques. Conseil d’État upholds Criteo’s €40M GDPR fineCNIL fined CRITEO, the biggest online advertisement and tracking company in Europe €40 Mio based on complaints by noyb and Privacy International.noyb.eu Le détournement institutionnel se systématise. Le New Jersey transforme un déficit de 3 milliards en croisade anti-tech avec 625 000 dollars symboliques. Les organisations privées maintiennent leurs droits d'auteur sur des standards devenus loi fédérale, privatisant l'accès aux règles. Sandvine échappe aux sanctions en se rebaptisant AppLogic Networks sans changer ses pratiques. Facing a budget squeeze, New Jersey decides to go after Big TechGov. Mikie Sherrill called Big Tech worse than Big Tobacco before proposing measures to regulate social media platforms.Reason.comMeagan O’Rourke Mais cette convergence révèle aussi l'émergence de contre-pouvoirs efficaces. L'EDPB et l'EDPS démontent la rhétorique de la Commission. NOYB et Privacy International obtiennent 40 millions d'amende contre Criteo. L'EFF s'allie à Harvard contre la privatisation des normes. Ces coalitions prouvent qu'une résistance organisée peut faire plier les stratégies de contournement les plus sophistiquées. From Sandvine to AppLogic Networks: a rebrand doesn’t mean reform - Access NowAccess Now, alongside several human rights organizations and independent news platforms, are calling on AppLogic Networks (previously Sandvine) to substantiate its announced corporate reforms following its removal from the U.S. Department of Commerce’s Entity List.Access Now _Points de vigilance : Risque de normalisation du contournement institutionnel comme mode de gouvernance standard. Les victoires ponctuelles peuvent masquer l'érosion systémique des mécanismes démocratiques de contrôle. Les stratégies de rebranding et de redéfinition technique risquent de se sophistiquer face à la résistance organisée._ > 9/10 : Score sur l'échelle des "5 piliers de la liberté", inspiré de l'ouvrage de Timothy Snyder https://da.van.ac/note-methodologique-5-piliers/ * * * ### Et maintenant ? Le croisement de ces sources fait apparaître des pistes d'action que chaque article seul ne révélait pas. 🤘 **Créer un observatoire européen des contournements institutionnels** Alliance autorités indépendantes + ONG + chercheurs pour détecter et documenter en temps réel les tentatives de redéfinition technique, détournement budgétaire et rebranding éthique. Système d'alerte précoce avec base de données publique des stratégies d'évitement identifiées. Reproduire le modèle EDPB-NOYB à l'échelle de tous les secteurs critiques. _→ On saura que ça marche quand les tentatives de contournement seront systématiquement exposées avant leur mise en œuvre, créant un coût réputationnel dissuasif._ 🤘 **Organiser des coalitions juridiques transsectorielles contre l'impunité par rebranding** Reproduire le succès NOYB-Privacy International contre Criteo en ciblant les entreprises qui échappent aux sanctions par changement de nom. Coalition juristes + ONG + journalistes d'investigation pour créer une jurisprudence sur la responsabilité des entités successeurs. Viser simultanément surveillance, ad-tech et IA militaire. _→ On saura que ça marche quand les entreprises ne pourront plus échapper à leurs responsabilités par un simple rebranding et que les sanctions incluront automatiquement les entités successeurs._ ✊ **Coordonner le retrait de consentement des piliers de soutien institutionnel** Cibler simultanément les chercheurs qui légitiment les IA militaires biaisées, les investisseurs qui financent les entreprises de surveillance, et les fournisseurs d'infrastructure qui hébergent les systèmes de tracking. Retirer le consentement de manière coordonnée pour fragiliser l'écosystème de contournement. _→ On saura que ça marche quand les acteurs du contournement institutionnel devront modifier leurs stratégies face au retrait coordonné de leurs soutiens techniques, financiers et académiques._ * * * **Ces pistes ne sont pas des recettes toutes faites, mais des points d'entrée pour repenser nos systèmes numériques selon une logique de liberté positive : non pas limiter, mais augmenter nos capacités collectives d'action.** ### On en discute ? Tu veux recevoir le flux quotidien des articles publiés sur le site ? Suis-moi sur LinkedIn, Bluesky, Mastodon, Facebook ou rejoins-moi sur Discord ! Tu as des remarques, des suggestions, ou tu veux discuter d'une idée pour avancer dans tes propres projets ? Connecte-toi et laisse-moi un commentaire ou jette un oeil directement à mon agenda.

Alimenté par le malware AVRecon, ce réseau s’est appuyé sur des appareils de bordure (entre 280 000 et 369 000), principalement des routeurs et des objets connectés, depuis 2020. Il est tombé.