Des proxies résidentiels repérés sur le réseau de la Maison-Blanche

La société Layer3 Intel affirme que du trafic de proxy résidentiel est sorti du réseau de la Maison-Blanche 236 fois en un mois, via six adresses IP de l'AS2650 — le système autonome enregistré au nom de l'Executive Office of the President. La société est claire : il s'agit de trafic de sortie, pas d'une intrusion. Aucun système gouvernemental n'est connu comme compromis, et les données montrent les sorties, pas l'appareil ni la personne derrière.

Ce que Layer3 a observé

D'après le rapport de Layer3 Intel (4 novembre), repris en France par Next :

• Six adresses de l'AS2650 étaient accessibles comme nœuds de sortie par 28 services de proxy résidentiel distincts, entre le 5 octobre et le 3 novembre, avec de l'activité sur 26 des 30 jours.
• Le pipeline d'énumération de Layer3 est sorti « 236 fois » par ce réseau.
• La découverte est fortuite : « nous avons remarqué une activité de sortie de proxy résidentiel sur l'AS2650 » en achetant un accès proxy rotatif pour une recherche sans rapport, écrit la société.
• Les détections ont été recoupées avec Spur et Synthient.

Cause probable

L'essentiel de l'activité se concentre en soirée, heure de la côte est, et presque rien la nuit — un schéma que Layer3 interprète comme « une personne plutôt qu'un réseau Wi-Fi public » : quelqu'un régulièrement connecté tard, sur un appareil infecté par un SDK de proxy.

Selon SecurityWeek, Synthient a relié le trafic à des machines Windows 11 exécutant InfaticaSDK, du code de proxy embarqué dans des applications gratuites. L'application exacte reste incertaine. Infatica, fournisseur de proxy basé à Singapour, a été fondé par Vladimir Fomenko, par ailleurs lié — d'après Brian Krebs — à l'hébergeur King Servers, associé à des infrastructures utilisées lors des intrusions de la présidentielle américaine de 2016.

Pourquoi c'est important

Un SDK de proxyware transforme n'importe quel appareil en nœud de sortie revendable dès qu'une application qui l'embarque s'exécute. Le risque concret n'est pas ce trafic précis — Layer3 n'a aucune preuve que des clients proxy aient atteint des systèmes internes — mais le modèle : une faille dans un tel SDK pourrait laisser des clients payants router vers tout ce que l'hôte peut joindre. Sur un réseau sensible, c'est tout le problème.

Que faire

1. Inventoriez les postes gérés à la recherche de proxyware et d'applications « partagez votre bande passante » ; ces SDK voyagent dans des VPN gratuits, des outils de streaming et des utilitaires mobiles.
2. Bloquez au proxy de sortie les domaines connus de ces SDK, et alertez sur les connexions sortantes inattendues ressemblant à du relais proxy.
3. Chassez le schéma InfaticaSDK et les hôtes servant de nœuds de sortie : sessions sortantes persistantes depuis des postes censés n'émettre que des connexions client.
4. Posez la règle : aucune application de revenus passifs par partage de bande passante sur un appareil touchant au réseau de l'entreprise.

Mise en perspective

C'est le même mode de défaillance que dans nos précédents articles sur le proxyware : le code de proxy résidentiel refait surface sur des réseaux qui ne devraient jamais l'héberger, parce que le SDK suit l'application, pas le modèle de menace. Ici, seule l'adresse change.