IP-адреса Белого дома оказались доступны через прокси-сервисы

Исследователи безопасности из компаний Layer3 Intel и Synthient зафиксировали в сети Белого дома активность резидентных прокси-серверов. Кто-то на президентском объекте запустил ПО, открывающее сторонним лицам доступ к правительственной сети всего за несколько долларов.

• В сети Белого дома обнаружена активность резидентных прокси
• Трафик через сеть шел с 5 октября по 3 ноября в вечернее время
• К инциденту может быть причастно приложение Rave с SDK-модулями
• Затронуты устройства на Windows 10 и Windows 11

Как работают резидентные прокси и в чем их опасность

Резидентный прокси позволяет пользователям арендовать доступ к реальному IP-адресу домашней или офисной сети и маппировать через него свой интернет-трафик. Это помогает скрывать реальный источник активности. Некоторые мобильные и десктопные приложения содержат сторонние SDK-модули, превращающие устройство в прокси-ноду без ведома владельца.

Хотя легитимный бизнес использует такие сети для проверки рекламы и тестирования, злоумышленники применяют их для обхода геолокационных ограничений. Хакеры задействуют резидентные прокси для атак методом перебора, создания ботнетов и захвата аккаунтов. В данном случае эксперты Layer3 Intel зафиксировали, что 28 прокси-сервисов перенаправляли трафик из сети Белого дома в период с 5 октября по 3 ноября.

Анализ активности и возможные причины заражения

По данным исследователей, подозрительная сетевая активность наблюдалась преимущественно в вечернее и ночное время — с 17:00 до полуночи по североамериканскому восточному времени. Такой регулярный график указывает скорее на конкретного человека, находящегося в здании допоздна, чем на гостевую публичную Wi-Fi-сеть, устройство которой заражено соответствующим SDK.

Компания Synthient предполагает, что источником проблемы может быть приложение для совместного просмотра видео Rave, которое интегрирует в свои платформы до 12 различных прокси-SDK. В зоне риска оказались компьютеры под управлением Windows 10 и Windows 11, обращавшиеся к таким провайдерам, как Geonode, Infatica и Mellowtel.

Связь с известными провайдерами и риски безопасности

Как отмечает издание Krebs on Security, сервис Infatica был основан Владимиром Фоменко, владельцем компании King Servers. Ранее эта структура связывалась с кибератаками на избирательные системы в штатах Иллинойс и Аризона, зафиксированными еще в 2016 году.

Эксперты Layer3 предупреждают, что подобный доступ является полностью публичным: любой желающий может подписаться на соответствующий прокси-сервис, заплатить символическую сумму и направить свои запросы через инфраструктуру Белого дома. Это создает серьезные риски для конфиденциальности и кибербезопасности правительственной сети.

Что это значит для государственных структур и ИТ-безопасности

Инцидент в Белом доме наглядно демонстрирует, насколько уязвимы современные корпоративные и государственные сети перед лицом кажущихся безобидными сторонних приложений на потребительских ОС. Использование личных или неуправляемых устройств (BYOD) либо случайная установка развлекательного софта с встроенными SDK могут скомпрометировать даже самые защищенные периметры.

Для ИТ-специалистов это сигнал о необходимости жесткого контроля за исходящим трафиком, аудита установленного ПО и блокирования несанкционированных прокси-соединений. Проблема подчеркивает, что человеческий фактор и фоновые процессы в потребительских программах остаются слабым звеном в цифровой защите госучреждений высокого уровня.