Устройства, связанные с сетью Белого дома, похоже, используются в качестве выходных узлов прокси-серверов, что может представлять угрозу безопасности одной из самых защищенных сетей в мире. Это могло произойти как через вредоносное ПО, так и другими способами.
О проблеме безопасности стало известно от компании Layer3 Intel, которая сообщила на этой неделе об обнаружении подозрительной деятельности благодаря недавно запущенному инструменту Residential Proxy Observatory. По словам основателя Layer3 Сергея Усатюка, активность жилых прокси-серверов в сети Белого дома могла остаться незамеченной, если бы не новый инструмент.
«Observatory — это просто общедоступный интерфейс для изучения данных, которые мы собирали в течение последнего года», — сообщил Усатук The Register по электронной почте.
Для тех, кто не знаком с жилыми прокси-серверами, они работают как обычные прокси-сети, скрывая местоположение пользователя. Отличие в том, что их выходные узлы используют IP-адреса, связанные с домашними интернет-соединениями, а не с дата-центрами. Хотя многие из них легальны, другие используются злоумышленниками для совершения киберпреступлений, как ранее в этом году предупреждало ФБР предупреждало.
В бюллетене ФБР, опубликованном в марте, пользователям рекомендуется защищать свои системы от взлома с помощью вредоносного ПО, незаконных партнерств с SDK, VPN с скрытыми условиями обслуживания, которые перенаправляют компьютеры пользователей в качестве выходных узлов, и других угроз, используемых для превращения жертв в узлы без их согласия.
ФБР объяснило, что жилые прокси-серверы часто используются злоумышленниками для сокрытия инфраструктуры командно-контрольных центров (C2), проведения фишинговых атак, рассылки спама, маскировки вредоносного трафика и т. д.
По данным Layer3, их данные показывают, что с 5 октября по 3 ноября почти ежедневно в сеть Белого дома выходили 28 различных служб жилых прокси-серверов, всего за этот период было зафиксировано 236 отдельных выходов. Другие сервисы обнаружения жилых прокси-серверов зафиксировали ту же информацию, сообщила Layer3.
Большая часть активности приходилась на вечернее время по времени Белого дома, с 17:00 до полуночи. Layer3 предполагает, что это указывает на наличие зараженного устройства, используемого в качестве выходного узла, вероятно, через зараженный SDK прокси-сервера, у кого-то в Белом доме, а не у гостя. Если это так, то это проблема.
«Предыдущие исследования показали, что плохо защищенные SDK прокси-серверов могут предоставлять доступ к внутренней сети и позволять боковое перемещение», — пояснили в Layer3. «Если SDK в этой сети имеет такой же недостаток, любой, кто купит доступ к прокси, сможет использовать его для доступа к внутренним системам».
Другими словами, это серьезный риск безопасности, и, как сообщил нам Усатук, он мог существовать уже некоторое время.
«Наши данные хранятся с 10 июля», — пояснил основатель Layer3. «Учитывая, что непрерывная активность продолжалась в течение нескольких месяцев, и другие сервисы обнаружения жилых прокси-серверов независимо подтвердили эти данные, весьма вероятно, что IP-адреса Белого дома уже давно используются сетями жилых прокси-серверов для различных видов деятельности».
Усатук заявил, что данные его компании недостаточно детализированы, чтобы определить, сколько устройств используется в качестве выходных узлов в сети Белого дома. Он указал на публикацию в X пост от компании Synthient, которая считает, что в сети Белого дома есть несколько устройств с Windows 10 и 11, на которых, вероятно, установлен Infatica SDK.
Infatica предлагает комплект для разработки программного обеспечения (SDK), который позволяет разработчикам приложений монетизировать интернет-соединения пользователей, превращая их устройства в выходные узлы жилых прокси-серверов. Возможность работы этого программного обеспечения на устройствах, связанных с сетью Белого дома, вызывает серьезные опасения по поводу безопасности: уязвимое программное обеспечение прокси-сервера потенциально может предоставить злоумышленникам доступ к внутренним системам.
Усатук сообщил нам, что последняя активность жилых прокси-серверов в сети Белого дома произошла в среду вечером, «через несколько часов после публикации статьи», но с тех пор прекратилась. Государственный департамент США связался с Layer3 в четверг утром, чтобы запросить копию журналов компании, которые, по словам Усатюка, он предоставил.
«Надеюсь, они разобрались в ситуации», — добавил Усатук, — и, надеюсь, до того, как были раскрыты какие-либо государственные секреты.
Белый дом не ответил на вопросы для этой статьи.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Brandon Vigliarolo
