هر کسی می تواند یک آدرس IP کاخ سفید را با چند دلار اجاره کند

روز چهارشنبه، شرکت امنیتی Layer3 گزارش داد که سرویس‌های پراکسی مسکونی را پیدا کرده است که ترافیک را از طریق آدرس‌های IP اختصاص داده شده به شبکه کاخ سفید هدایت می‌کنند، و نشان می‌دهد دستگاه‌های متصل به آن شبکه نرم‌افزاری را اجرا می‌کنند که اجازه می‌دهد اتصالات اینترنتی آن‌ها را به غریبه‌ها اجاره دهند، احتمالا از طریق برنامه‌های رایگان نصب شده روی رایانه یا تلفن.

خدمات پراکسی مسکونی دسترسی به تلفن‌ها و رایانه‌های مورد استفاده افراد عادی را می‌فروشند، بنابراین به نظر می‌رسد ترافیک مشتری از آدرس‌های اینترنتی آن دستگاه‌ها می‌آید. مجرمان سایبری اغلب این دسترسی را می خرند تا فعالیت آنها مانند ترافیک معمولی خانه یا محل کار به نظر برسد، و آدرس های کاخ سفید که Layer3 یافت شده همان نوع فروخته شده در خدمات پروکسی مسکونی عمومی است که هر کسی می تواند خریداری کند. در واقع، Layer3 گفت که این آدرس‌های خروجی را در 28 سرویس جداگانه مشاهده کرده است.

بن‌براندیج بنیانگذار Synthient به Krebs on Security گفت که برخی از فروشندگان "پهنای باند را به قیمت 60 سنت در گیگابایت می‌فروشند، یعنی با کمتر از یک دلار می‌توانید به برخی از محرمانه‌ترین و قابل اعتمادترین شبکه‌ها دسترسی پیدا کنید." او افزود که «اکوسیستم فروشندگان این امکان را برای هر مجرمی که می‌تواند در حالی که فرآیندهای KYC [مشتری خود را بشناسید] خرید کند، امکان پذیر می‌کند».

Layer3 گفت که رصدخانه پروکسی مسکونی آن متوجه ترافیک خروجی در AS2650، سیستم مستقل ثبت شده در دفتر اجرایی رئیس جمهور، که میزبان شبکه کاخ سفید است، شده است. بین 5 اکتبر و 3 نوامبر، خط لوله مانیتورینگ Layer3 236 بار با استفاده از شش آدرس IP مختلف در 26 روز از این 30 روز، از آن شبکه خارج شد. این شرکت گفت که کاخ سفید را هدف قرار نداده است.

در عوض، با درخواست دسترسی چرخشی جهانی از ارائه‌دهندگان عمومی، خروجی‌ها را گرفت و بعدا آدرس‌ها را در برابر Spur و Synthient بررسی کرد، که به‌طور مستقل آنها را به عنوان خروجی پراکسی مسکونی پرچم‌گذاری کرد.

Layer3 نوشت: "این دسترسی عمومی است. هر کسی می تواند آن را با ثبت نام در یک سرویس پروکسی مسکونی عمومی، پرداخت چند دلار و ارسال درخواست از طریق آن به دست آورد." حدود نیمی از مشاهدات بین ساعت 5 بعد از ظهر بود. و نیمه شب به وقت شرقی، تقریبا هیچ کدام در صبح زود، یک الگوی Layer3 به عنوان شخصی که به طور منظم در شب در شبکه با دستگاهی که یک کیت توسعه نرم افزار پروکسی (SDK) اجرا می کند، خوانده می شود. این شرکت افزود: «داده‌های ما خروجی‌ها را نشان می‌دهند، نه دستگاه یا شخصی که پشت آن‌ها قرار دارد».

برای روشن بودن، محققان نگفته اند که این بدافزار برای جاسوسی از کاخ سفید کار گذاشته شده است. توسعه‌دهندگان برنامه اغلب SDK‌های پراکسی مسکونی را برای کسب درآمد از برنامه‌های رایگان تعبیه می‌کنند و در زمانی که پهنای باند دستگاه اجاره داده می‌شود، به ازای هر نصب، هزینه کمی دریافت می‌کنند. این نصب‌های رایگان برنامه می‌توانند از دستگاه‌های کارمندی که به محل کار آورده شده‌اند، نشان دهند.

🧵 1/N با اطمینان بالا، ما معتقدیم برنامه نصب شده Rave[.]io یک برنامه پخش جریانی مشترک است که 12 SDK پراکسی را در پلتفرم بسته بندی می کند. https://t.co/PKhesNr8xu pic.twitter.com/VdTUaLuWB0

Synthient در ابتدا فعالیت شبکه کاخ سفید را به دستگاه‌های ویندوزی که InfaticaSDK را اجرا می‌کردند، گره زد، یک برنامه پراکسی که اغلب در برنامه‌های موبایل و دسکتاپ رایگان ادغام می‌شود. ردیاب پروکسی اکنون می گوید که با اطمینان بالا معتقد است که برنامه نصب شده Rave است، یک برنامه پخش جریانی مشترک که تعداد زیادی SDK پراکسی را بسته بندی می کند. Synthient گفت که دستگاه‌های Windows 10 و Windows 11 را شناسایی کرده است که با Geonode، Infatica و Mellowtel ارتباط برقرار می‌کنند و جستجوی VirusTotal برای برنامه‌های ویندوز حاوی هر سه SDK فقط Rave را شناسایی کرده است.

ارزش این را دارد که در نظر بگیرید که یک SDK پروکسی با امنیت ضعیف فراتر از اجاره یک آدرس IP قابل اعتماد می تواند چه کاری انجام دهد. کربس خاطرنشان کرد که در اواخر سال 2025، مجرمان به طور انبوه از نقص‌های گسترده در این نوع سرویس‌ها سوء استفاده کردند که به آنها اجازه می‌داد شبکه محلی هر نقطه پایانی پروکسی را برای آلوده کردن سیستم‌ها بررسی کنند. در ژانویه، پس از اینکه Brundage نشان داد که چگونه می توان از این نقص ها برای به دست گرفتن کنترل دستگاه های داخل شبکه های محلی کاربران سوء استفاده کرد، بسیاری از سرویس های پراکسی مجبور به اصلاح شدند.

اگر یک پروکسی SDK در یک شبکه حساس، مانند شبکه کاخ سفید، نقص مشابهی داشته باشد، به طور بالقوه می‌تواند به مشتریان اجازه دهد تا به سیستم‌های دیگر در شبکه محلی دسترسی پیدا کنند، مشروط بر اینکه این سیستم‌ها جدا یا محافظت نشده باشند.

اوایل این هفته، گروه اطلاعاتی تهدید گوگل اعلام کرد که درب پشتی XCPE را که بیش از 1.3 میلیون ستاپ باکس، عمدتا دستگاه‌های Android TV را ثبت کرده بود، در بات‌نتی که Google ارزیابی می‌کند با اطمینان بالا عمدا توسط سازنده سخت‌افزار Android توسعه یافته و برای منافع مالی کار می‌کند، از بین برده است. سوء استفاده ها گوگل نوشت: «ما معتقدیم که این کمپین یک خودی سرکش منزوی یا یک نظارت بر توسعه نبود.

ماه گذشته، محققان همچنین مشاهده کردند که مهاجمان از یک آسیب‌پذیری در Plex Media Server برای استقرار نرم‌افزار پراکسی مسکونی سوء استفاده می‌کنند. پس از عمومی شدن زنجیره اجرای کد از راه دور Plex2Shell، اپراتور یک سرور عمدا آسیب‌پذیر را به عنوان یک هانی‌پات اجرا می‌کند که مهاجمان یک ماینر ارز دیجیتال و نرم‌افزار پروکسی مسکونی myawesomeproxy را نصب می‌کنند.

اپراتورهای دولتی از آنچه که شبکه های پروکسی مسکونی می توانند پنهان کنند نیز استفاده می کنند. به عنوان مثال، گزارش شده است که بازیگران جاسوسی روسی ترافیک را از طریق شبکه های خانگی آمریکایی ها هدایت کرده اند تا عملیات سایبری را پنهان کنند. کره شمالی این استراتژی را با پروکسی‌های انسانی و مزرعه‌های لپ‌تاپ پیش برده است که به کارکنان فناوری اطلاعات کره شمالی اجازه می‌دهد از ماشین‌های آمریکایی استفاده کنند، طرحی که اخیرا منجر به یورش اف‌بی‌آی به بیش از 40 خانه در تگزاس و اتهامات علیه آمریکایی‌هایی شد که متهم به کمک به اداره آن شدند.