Du trafic de proxys résidentiels détecté sortant par le réseau de la Maison-Blanche

Layer3 Intel affirme avoir repéré cette activité en parcourant son nouvel outil Residential Proxy Observatory, qui offre une vue mondiale de l’activité des proxys résidentiels et de l’activité internet anonymisée. Layer3 a enregistré 236 connexions via ce réseau entre le 5 octobre et le 3 novembre, depuis six adresses IP, sur 26 de ces 30 jours. Au total, 28 services de proxys résidentiels pouvaient utiliser le réseau. Layer3 a comparé les adresses IP avec les données de Spur et de Synthient, qui les identifient également comme des points de sortie de proxys résidentiels.

Layer3 indique n’avoir pas ciblé le réseau et avoir découvert l’activité par hasard, en demandant un accès rotatif mondial via des services publics de proxys résidentiels. Elle n’a accusé personne à la Maison-Blanche de malveillance, et précise que ses données ne permettent pas d’identifier l’appareil ni la personne à l’origine de l’activité. Les chercheurs notent qu’environ la moitié de l’activité se situe entre 5 heures du soir et minuit, heure de la côte Est, ce qu’ils interprètent comme l’utilisation régulière du réseau en soirée par une personne, plutôt que comme un Wi-Fi public pour invités.

Layer3 avertit que des SDK de proxy mal sécurisés peuvent permettre l’accès au réseau interne et le mouvement latéral, en citant les recherches de Synthient sur le botnet Kimwolf, qui a atteint au moins 2 millions d’appareils via des réseaux de proxys résidentiels. Layer3 décrit ce risque comme conditionnel. Si un SDK présent sur ce réseau comportait la même faille, toute personne achetant un accès proxy pourrait atteindre des systèmes internes. Elle ne prétend pas que ce soit le cas.

Pourquoi c’est important Pour les équipes de sécurité, la préoccupation est que des appareils situés sur des réseaux protégés pourraient devenir, à leur insu, des points de sortie de proxys, exposant ces réseaux à du trafic extérieur. Les investigateurs devraient noter que les données de sortie indiquent où le trafic proxy sort, et non quel appareil ou quelle personne l’a généré. L’attribution exige donc des éléments supplémentaires. Les organisations devraient vérifier si un SDK de proxy est présent sur leurs propres réseaux et si ces SDK sont configurés de manière sécurisée.