Pesquisa rastreia 236 saídas de proxies residenciais na rede da Casa Branca
Pesquisa da Layer3 Intel, publicada em 4 de novembro, registrou 236 saídas de tráfego de proxy residencial pela rede da Casa Branca em 30 dias, por seis endereços do AS2650, usados por 28 serviços. O padrão noturno sugere um dispositivo com SDK de proxy, e a atividade mais recente foi na noite de 4 de novembro, segundo o fundador da Layer3. Não houve relato de comprometimento de sistemas; monitorar tráfego de saída incomum é a defesa indicada.
O que aconteceu
Pesquisa da Layer3 Intel registrou 236 saídas de tráfego de proxies residenciais pela rede da Casa Branca entre 5 de outubro e 3 de novembro, por seis endereços. Qualquer pessoa podia usar as mesmas saídas pagando alguns dólares a serviços públicos de proxy. A Layer3 não relatou comprometimento dos sistemas.
Por que importa
O padrão de horário sugere que um dispositivo dentro da rede rodava um SDK de proxy, permitindo que estranhos usem endereços da instituição. Pesquisas anteriores mostram que SDKs de proxy mal protegidos podem dar acesso a redes internas e movimento lateral, como ocorreu em botnets passadas.
O que fazer
Monitorar tráfego de saída incomum, revisar dispositivos em busca de SDKs de proxy instalados e barrar tráfego de saída não autorizado.
Para o time técnico
- Afetados
- Casa Branca (governo dos EUA) Endereços da rede da Casa Branca usados como saída por proxies residenciais · Endereços da rede da Casa Branca no AS2650; potencialmente qualquer dispositivo com SDK de proxy residencial instalado.
- Exploração
- Saídas ativas identificadas pela Layer3 Intel em 26 dos 30 dias entre 5 de outubro e 3 de novembro, e verificadas de forma independente nas páginas de consulta de Spur e Synthient. Atividade mais recente relatada na noite de 4 de novembro pelo fundador Sergiy Usatyuk.
- Correção
- Sem correção específica citada; mitigação indicada é monitorar tráfego de saída incomum e revisar dispositivos com SDKs de proxy.
- Vetor
- Saída de tráfego por seis endereços do AS2650, bloco registrado ao Escritório Executivo do Presidente, usada por 28 serviços de proxy residencial. Cerca de metade da atividade ocorreu entre 17h e meia-noite (horário do leste dos EUA), padrão que, segundo a Layer3, sugere pessoa na rede com dispositivo infectado por SDK de proxy, e não Wi-Fi público de convidados.
- Mais detalhes
- Pesquisa publicada em 4 de novembro no Residential Proxy Observatory, recém-lançado pela Layer3. A firma guardou os logs brutos e compartilhou os achados com uma agência federal dos EUA. A Layer3 citou pesquisa da Synthient mostrando que a botnet Kimwolf atingiu ao menos dois milhões de dispositivos, na maioria Android com Android Debug Bridge exposto, via redes de proxy residencial. A Layer3 ressalta que os dados mostram as saídas, não o dispositivo ou a pessoa por trás delas. A Infosecurity contatou a Casa Branca para comentário.
Indicadores (IoCs)
- AS2650
Linha do tempo
Pesquisa aponta que 28 serviços de proxy residencial usaram 6 endereços da rede, principalmente entre 17h e meia-noite, no horário do leste dos EUA.
Incidente aberto.
Fontes 2 fontes
- Residential Proxy Traffic Traced to White House Network Infosecurity Magazine
- Researchers Find Residential Proxies on White House Network SecurityWeek
