В среду компания в области кибербезопасности Layer3 сообщила, что обнаружила сервисы резидентного прокси, которые маршрутизируют трафик через IP-адреса, выделенные сети Белого дома. Это предполагает, что устройства, подключенные к этой сети, работают с программным обеспечением, позволяющим сдавать их интернет-соединения в аренду посторонним, потенциально через бесплатные приложения, установленные на компьютерах или телефонах.
Сервисы резидентного прокси продают доступ к телефонам и компьютерам обычных людей, чтобы трафик клиента выглядел исходящим с интернет-адресов этих устройств. Киберпреступники часто покупают такой доступ, чтобы их деятельность выглядела как обычный домашний или офисный трафик, а адреса Белого дома, обнаруженные Layer3, являются теми же, что продаются в общедоступных сервисах резидентного прокси, которые может приобрести любой желающий. Фактически, Layer3 заявила, что видела эти выходные адреса в 28 различных сервисах.
Бен Брандадж, основатель Synthient, сообщил Krebs on Security, что некоторые реселлеры «продают пропускную способность всего за 60 центов за гигабайт, что означает, что менее чем за доллар вы можете получить доступ к некоторым из самых конфиденциальных и доверенных сетей». Он добавил, что «экосистема реселлеров способствует этому, поскольку любой преступник может купить доступ, минуя процессы KYC [Знай своего клиента]».
Выходы в сеть Белого дома появились в общедоступных пулах прокси
Layer3 сообщила, что ее система мониторинга резидентных прокси (Residential Proxy Observatory) зафиксировала выходной трафик в системе AS2650, зарегистрированной на Исполнительное управление Президента, которое обслуживает сеть Белого дома. В период с 5 октября по 3 ноября конвейер мониторинга Layer3 выходил через эту сеть 236 раз, используя шесть различных IP-адресов в 26 из 30 дней. Компания заявила, что не нацеливалась на Белый дом. Вместо этого она обнаружила выходы, запрашивая глобальный роуминговый доступ у общедоступных поставщиков и позже сопоставив адреса с данными Spur и Synthient, которые независимо помечают их как выходы резидентного прокси.
«Это общедоступный доступ. Любой может получить его, зарегистрировавшись в общедоступном сервисе резидентного прокси, заплатив несколько долларов и отправив через него запросы», — написала Layer3. Примерно половина наблюдений пришлась на период с 17:00 до полуночи по восточному времени, и почти ни одного — ранним утром. Layer3 интерпретирует эту закономерность как регулярное присутствие кого-то в сети вечером с устройством, работающим с программным обеспечением для разработки резидентных прокси (SDK). «Наши данные показывают выходы, а не устройство или человека, стоящего за ними», — добавила компания.
Важно отметить, что исследователи не утверждают, что это было вредоносное ПО, установленное для шпионажа за Белым домом. Разработчики приложений часто встраивают SDK резидентного прокси для монетизации бесплатных приложений, получая небольшую плату за установку, в то время как пропускная способность устройства сдается в аренду. Эти установки бесплатных приложений затем могут передавать данные с устройств сотрудников, принесенных на рабочее место.
🧵 1/N
With high confidence we believe the installed app to be Rave[.]io a shared streaming app that bundles 12 proxy SDKs into the platform. https://t.co/PKhesNr8xupic.twitter.com/VdTUaLuWB0— Synthient (@synthient) November 5, 2026
Synthient изначально связала активность в сети Белого дома с компьютерами под управлением InfaticaSDK, программой прокси, часто интегрируемой в бесплатные мобильные и настольные приложения. Теперь трекер прокси утверждает, что с высокой степенью уверенности считает, что установленным приложением является Rave — приложение для совместного стриминга, которое объединяет множество SDK прокси. Synthient сообщила, что обнаружила устройства под управлением Windows 10 и Windows 11, взаимодействующие с Geonode, Infatica и Mellowtel, и что поиск в VirusTotal по приложениям Windows, содержащим все три SDK, выявил только Rave.
Стоит рассмотреть, что может сделать плохо защищенный SDK прокси помимо аренды доверенного IP-адреса. Krebs отметил, что в конце 2025 года преступники массово использовали широко распространенные уязвимости в подобных сервисах, которые позволяли им сканировать локальную сеть каждого прокси-сервера на предмет систем для заражения. В январе многим прокси-сервисам пришлось выпускать исправления после того, как Брандадж продемонстрировал, как эти уязвимости могут быть использованы для захвата контроля над устройствами в локальных сетях пользователей. Если бы SDK прокси в такой конфиденциальной сети, как сеть Белого дома, имел подобную уязвимость, это потенциально могло бы позволить клиентам получить доступ к другим системам в локальной сети, при условии, что эти системы не были бы изолированы или защищены иным образом.
Другие кошмары с резидентными прокси
Ранее на этой неделе группа Threat Intelligence от Google сообщила, что она ликвидировала бэкдор XCPE, который включил более 1,3 миллиона ТВ-приставок, в основном устройств Android TV, в ботнет, который, по мнению Google с высокой степенью уверенности, был намеренно разработан и эксплуатировался для получения финансовой выгоды производителем аппаратного обеспечения Android Videostrong Technology Co. Модули незаметно включали зараженные приставки в сети резидентного прокси, среди прочих злоупотреблений. «Мы считаем, что эта кампания не была изолированным случаем недобросовестного инсайдера или ошибкой в разработке», — написала Google.
В прошлом месяце исследователи также наблюдали, как злоумышленники использовали уязвимость в Plex Media Server для развертывания программного обеспечения резидентного прокси. После того как стала известна цепочка выполнения удаленного кода Plex2Shell, оператор, управляющий намеренно уязвимым сервером в качестве ловушки (honeypot), увидел, как злоумышленники установили майнер криптовалют и программное обеспечение резидентного прокси myawesomeproxy.
Операторы, спонсируемые государством, также используют возможности, которые могут скрыть сети резидентного прокси. Например, российские шпионские группы, как сообщается, маршрутизировали трафик через домашние сети американцев, чтобы скрыть кибероперации. Северная Корея пошла еще дальше, используя человеческие прокси и фермы ноутбуков, которые позволяют северокорейским IT-специалистам использовать машины США — схема, которая недавно привела к рейдам ФБР более чем в 40 техасских домах и обвинениям против американцев, обвиняемых в помощи в ее управлении.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Kyle Torpey
