Un'attività di proxy residenziale è stata individuata sulla rete della Casa Bianca. A scoprirla sono state le società di sicurezza Layer3 Intel e Synthient, come riportato da Krebs on Security e The Register. In pratica, qualcuno all'interno del network presidenziale starebbe eseguendo software che consente a soggetti esterni di affittare l'accesso alla rete per pochi dollari, mascherando la propria posizione geografica dietro un indirizzo IP istituzionale.
Come funziona il meccanismo
Un proxy residenziale permette di instradare il traffico internet attraverso l'indirizzo IP di una connessione domestica, nascondendo la provenienza reale delle attività. Alcune app e estensioni browser integrano SDK di terze parti che installano nodi proxy sui dispositivi degli utenti, spesso a loro insaputa. Questi servizi rivendono poi l'accesso ai proxy residenziali. Se da un lato possono essere usati legittimamente per verifiche pubblicitarie o test di qualità, dall'altro i malintenzionati li sfruttano per aggirare controlli geografici, filtri difensivi, creare botnet e compiere takeover di account.
L'anomalia nei log della Casa Bianca
Layer3 Intel ha rilevato che 28 servizi di proxy residenziale hanno instradato traffico fuori dalla rete della Casa Bianca tra il 5 ottobre e il 3 novembre, con un picco di attività tra le 17:00 e mezzanotte (ora della costa orientale). Secondo gli esperti, il pattern suggerisce la presenza di una persona fisica collegata regolarmente alla rete presidenziale nelle ore serali, con un dispositivo infetto da un SDK proxy, piuttosto che un semplice accesso Wi-Fi per ospiti. Synthient ipotizza che l'SDK possa essere legato all'app di watch party Rave, che secondo l'azienda integra 12 proxy SDK nella piattaforma.
Synthient ha inoltre individuato diversi dispositivi Windows 10 e Windows 11 sulla rete della Casa Bianca che comunicavano con noti fornitori di proxy come Geonode, Infatica e Mellowtel. Un dettaglio che accende i riflettori: Infatica è stata fondata da Vladimir Fomenko, proprietario di King Servers, già collegato agli attacchi informatici del 2016 contro i sistemi elettorali in Illinois e Arizona.
Layer3 ha sottolineato che il proxy residenziale è di fatto ad accesso pubblico: chiunque può ottenerlo iscrivendosi a un servizio commerciale, pagando pochi dollari e inviando richieste attraverso di esso. Un promemoria dei rischi legati alla supply chain del software, anche nelle reti più sensibili al mondo.
