Layer3: Безопасность сети Белого дома висит на волоске

По данным экспертов Layer3 Intel, за 30-дневный период через сеть Белого дома 236 раз проходил трафик от резидентных прокси-сервисов. При этом 28 различных провайдеров таких услуг использовало шесть IP-адресов, принадлежащих этой сети, для маршрутизации своего трафика.

Резидентные прокси — это сервисы, предоставляющие доступ к обычным пользовательским устройствам; они позволяют клиентам направлять трафик, который выглядит так, будто исходит из сети, к которой подключено конкретное устройство. Указанные IP-адреса входят в состав автономной системы AS2650, зарегистрированной на Исполнительное управление президента США — федеральное ведомство, в ведении которого находится сеть Белого дома. Данные были получены специалистами с помощью недавно запущенного компанией Layer3 инструмента — Residential Proxy Observatory.

По словам представителей вендора, любой желающий может направлять трафик через эти адреса, зарегистрировавшись в общедоступном сервисе резидентных прокси и заплатив всего несколько долларов. Безопасники обнаружили эту активность случайно — в процессе запроса доступа к глобальной сети через подобные сервисы.

Примерно половина зафиксированной активности приходилась на период с 17:00 до полуночи по восточному времени, в то время как в утренние часы она практически отсутствовала. Как полагают в Layer3, такой график указывает скорее на действия конкретного человека, чем на использование общедоступной гостевой сети Wi-Fi. Вероятно, речь идёт о пользователе, который регулярно работает в сети администрации президента до позднего вечера, а его устройство заражено софтом для организации прокси-узла (Software Development Kit). При этом эксперты не сообщали о каком-либо взломе или компрометации систем Белого дома.

Предыдущие исследования показали, что недостаточно защищённые прокси-SDK могут открыть доступ к внутренним сетям и позволить злоумышленникам там перемещаться — именно таким образом в прошлом распространялись ботнеты. Представители Layer3 сослались на отчёт Synthient, согласно которому ботнет Kimwolf через сети резидентных прокси-серверов поразил как минимум два миллиона устройств — преимущественно работающих под управлением Android (у них был открыт доступ к службе Android Debug Bridge).

По мнению безопасников, если бы подобная уязвимость присутствовала в SDK, используемом в сети администрации президента, любой, кто приобрёл доступ к таким инструментам, мог бы воспользоваться ими для проникновения во внутренние системы.

Усам Оздемиров