Sieć Białego Domu Narażona na Wynajmowane Proxy Mieszkalne

Eksperci ds. bezpieczeństwa ostrzegają, że kilku pracowników Białego Domu używa urządzeń wyposażonych w usługi proxy mieszkalnych, które pozwalają na wynajmowanie ich adresów internetowych przez osoby trzecie. Praktyka ta naraża sieć Biura Prezydenta na nieautoryzowany dostęp, przy czym jedna z usług jest powiązana z rosyjskim założycielem, którego firma była platformą dla cyberataków na amerykańskie systemy wyborcze w 2016 roku.

Co się stało

Według Krebs on Security, firma bezpieczeństwa Layer3 Intel wykryła wiele węzłów proxy mieszkalnych emitujących sygnały z zakresu adresów internetowych zarezerwowanego dla Biura Prezydenta (AS2650). Layer3 poinformowała, że działalność była ciągła w okresie od 5 października do 3 listopada, a wyjścia proxy nastąpiły 236 razy z sieci Białego Domu w tym czasie. Aktywność pochodziła z sześciu konkretnych adresów internetowych w 26 z 30 dni, głównie między 17:00 a północą.

Firma monitorująca proxy, Synthient, zidentyfikowała oprogramowanie jako Infatica, program proxy często wbudowywany w darmowe aplikacje mobilne i desktopowe. Synthient zauważyła, że założyciel Infatica, Vladimir Fomenko, jest obywatelem Rosji, a jego firma hostingowa, King Servers, hostowała sześć z ośmiu adresów internetowych używanych przez rosyjskie służby bezpieczeństwa państwowego do naruszenia baz danych wyborczych w Arizonie i Illinois w 2016 roku. Layer3 Intel dodała, że 28 odrębnych usług proxy mieszkalnych mogło wyjść przez sieć Białego Domu. Ben Brundage, założyciel Synthient, powiedział KrebsOnSecurity, że odsprzedawcy mogą sprzedawać przepustowość już za 60 centów za gigabajt, co pozwala przestępcom ominąć procedury Know Your Customer. Biały Dom nie odpowiedział od razu na prośbę o komentarz.

Dlaczego ma to znaczenie dla właścicieli małych firm

Incydent ten nie jest jedynie porażką rządu; stanowi bezpośrednie ostrzeżenie dla małych i średnich firm, które polegają na oprogramowaniu konsumenckim i urządzeniach należących pracownikom. Główną przyczyną jest monetyzacja przepustowości użytkownika poprzez wbudowane SDK w „darmowe” aplikacje, praktyka powszechna w całym ekosystemie technologicznym. Dla małej firmy oznacza to, że darmowe narzędzie produktywności lub aplikacja mobilna zainstalowana na laptopie pracownika może cicho wynajmować adres IP biura nieznajomym. Tworzy to podwójne zagrożenie: po pierwsze, ruch sieciowy jest anonimizowany i kierowany przez infrastrukturę stron trzecich, co może naruszać przepisy o ochronie danych; po drugie, adres IP staje się nośnikiem cyberprzestępczości, przejęcia kont lub zbierania danych przez AI, co może spowodować czarną listę domeny firmy lub przyciągnąć złośliwy ruch skierowany do infrastruktury. Fakt, że 65 % klientów Infoblox zapytało o domeny proxy mieszkalnych, jak podano w tym samym artykule, wskazuje, że jest to systemowy problem całej branży, a nie odosobniona anomalia. Małe firmy często nie mają dedykowanych zespołów bezpieczeństwa IT, aby wykrywać te subtelne procesy w tle, co czyni je podatnymi na te same ryzyka „cieniowego IT”, które zagroziły sieci Białego Domu.

Co zrobić w tym tygodniu

1. Przeprowadź audyt wszystkich urządzeń pracowników pod kątem znanych SDK proxy mieszkalnych, takich jak Infatica, PacketStream lub podobne oprogramowanie do udostępniania przepustowości, i odinstaluj aplikacje, które je zawierają.
2. Skonfiguruj zaporę sieciową, aby blokowała ruch wychodzący do znanych węzłów wyjściowych proxy mieszkalnych oraz ogranicz dostęp do Internetu z urządzeń niekorporacyjnych, będących własnością prywatną, aby zapobiec nieautoryzowanemu udostępnianiu przepustowości.
3. Wprowadź rygorystyczną politykę listy dozwolonych programów, zakazującą instalacji niezweryfikowanych „darmowych” aplikacji na sprzęcie firmowym, wymagającą zatwierdzenia przez dział IT każdego nowego oprogramowania, które żąda uprawnień sieciowych lub systemowych.

Źródła

• Want to Rent an Internet Address at the White House? — Krebs on Security