Des chercheurs en cybersécurité ont rapporté la découverte d'une activité de réseaux de proxys résidentiels (Residential Proxies) opérant à l'intérieur du réseau privé de la Maison Blanche, une faille qui pourrait permettre à des tiers de louer des privilèges d'accès pour rediriger le trafic Internet via les adresses IP officielles appartenant à la résidence présidentielle pour des montants ne dépassant pas quelques dollars.
Selon les résultats de recherche obtenus par les entreprises de cybersécurité Layer3 Intel et Synthient, et publiés par le blog Krebs on Security et le site The Register, des appareils au sein du réseau de la Maison Blanche ont été observés suivant des comportements de proxy résidentiel. Cette technologie fonctionne en redirigeant le trafic numérique de tiers à travers les appareils d'utilisateurs à l'intérieur du réseau, ce qui permet aux locataires de masquer la source réelle de leur activité et d'apparaître comme un navigateur situé à l'intérieur du réseau de la Maison Blanche.
Détails de la découverte et modèles temporels
La société Layer3 Intel a expliqué avoir détecté 28 services de proxy résidentiels différents redirigeant le trafic hors du réseau de la Maison Blanche dans la période allant du 5 octobre au 3 novembre. Les chercheurs ont indiqué que cette activité se produisait régulièrement entre 17h00 et minuit, heure de la côte est des États-Unis.
Ce modèle temporel suggère que la cause n'est pas un réseau Wi-Fi public destiné aux visiteurs, mais plutôt un appareil personnel appartenant à une personne présente régulièrement à la Maison Blanche jusqu'à des heures tardives de la nuit, et dont l'appareil serait infecté par un kit de développement logiciel (SDK) spécifique aux proxys. La société Synthient a suggéré que ce logiciel pourrait être lié à des applications de visionnage synchronisé telles que l'application Rave, qui intègre environ 12 kits SDK pour des services de proxy dans sa plateforme.
Synthient a également détecté un certain nombre d'appareils fonctionnant sous Windows 10 et Windows 11 au sein du réseau envoyant des signaux de connexion (beaconing) à des fournisseurs de proxy connus tels que Geonode, Infatica et Mellowtel. Il est à noter que le service Infatica a été fondé par Vladimir Vomenko, propriétaire de la société King Servers, dont le nom a été associé aux cyberattaques ayant ciblé les systèmes électoraux dans les États de l'Illinois et de l'Arizona en 2016.
Pourquoi cette évolution est-elle importante pour la cybersécurité ?
Les réseaux de proxys résidentiels sont utilisés à des fins légitimes telles que la vérification de publicités et le test de qualité de logiciels, mais les attaquants et les pirates les exploitent largement pour contourner les contrôles de géolocalisation et les pare-feu officiels. Ces adresses sont également exploitées pour construire des réseaux de bots (Botnets) et sécuriser les opérations de piratage et de prise de contrôle de comptes.
Le danger extrême de cette découverte réside dans le fait que les services de proxy observés sont accessibles au public ; n'importe qui peut s'inscrire à ces services et payer de faibles montants pour diriger ses commandes et son trafic via le réseau de la Maison Blanche, ce qui confère aux attaquants une couverture numérique dotée d'une grande crédibilité susceptible de contourner de nombreux filtres défensifs à travers le monde.