Chiunque poteva navigare usando indirizzi IP della Casa Bianca per pochi dollari

La rete informatica della Casa Bianca è comparsa nei cataloghi di servizi proxy residenziali, consentendo a clienti esterni di far transitare richieste Internet attraverso indirizzi associati all’Executive Office of the President.

La scoperta non dimostra, però, che un aggressore abbia violato i sistemi presidenziali: i ricercatori hanno osservato gli indirizzi pubblici di uscita, non identificato i dispositivi che li generavano.

Per capire la portata dell’episodio occorre distinguere le misurazioni di Layer3 Intel dalle ipotesi di Synthient sull’origine del software e dai rischi tecnici documentati in precedenti campagne criminali. Le verifiche indipendenti confermano la classificazione degli indirizzi come proxy, non l’identità degli utenti.

Come sono finiti gli indirizzi della Casa Bianca nei proxy

Layer3 Intel ha pubblicato i risultati il 4 novembre, dopo aver rilevato il fenomeno tramite il Residential Proxy Observatory. Tra il 5 ottobre e il 3 novembre, le richieste di test sono uscite dalla rete AS2650, registrata all’Executive Office of the President, 236 volte. Sono stati coinvolti sei indirizzi IP e 28 servizi proxy. L’azienda afferma di averli scoperti per caso, chiedendo accesso rotante a indirizzi globali, e di aver verificato la classificazione con Spur Intelligence e Synthient.

Circa metà delle osservazioni è avvenuta tra le 17 e mezzanotte, ora orientale. Per Layer3, la regolarità suggerisce un dispositivo usato da una persona, non una rete Wi-Fi per visitatori. Ma i dati identificano gli indirizzi di uscita, non il computer o chi lo utilizza.

Synthient ha rilevato dispositivi Windows 10 e 11 che contattavano provider come Geonode, Infatica e Mellowtel. Ha indicato Rave, app per guardare contenuti in streaming insieme ad altre persone, come possibile origine: secondo l’azienda, integra dodici SDK proxy. È un’ipotesi, non la prova che un dipendente abbia installato l’app o che spieghi tutto il traffico. InfaticaSDK è descritto come componente di monetizzazione presente su più piattaforme.

Infatica ha sede a Singapore ed è stata fondata da Vladimir Fomenko, proprietario anche di King Servers. Brian Krebs ricorda che quest’ultima ospitò sei degli otto indirizzi collegati agli attacchi russi del 2016 ai sistemi elettorali di Arizona e Illinois. Il precedente non prova un coinvolgimento di Infatica nell’episodio attuale.

Il rischio di accesso alle reti interne e i precedenti

Il rischio è un possibile accesso dalla connessione proxy alla rete interna. Un SDK vulnerabile potrebbe consentire ai clienti di raggiungere servizi locali e muoversi lateralmente. Layer3 richiama Kimwolf, botnet che secondo Synthient ha infettato oltre due milioni di dispositivi attraverso reti proxy e sistemi Android con ADB esposto. Non ci sono prove che la stessa vulnerabilità riguardi la Casa Bianca o che siano stati raggiunti sistemi interni.

L’FBI aveva avvertito che SDK nelle app, VPN con condizioni poco trasparenti, malware e dispositivi compromessi possono trasformare connessioni personali in nodi proxy. Spur ha rilevato il fenomeno anche in reti pubbliche, utility, sanità e finanza, secondo Krebs.

RuntimeWire riferisce che Layer3 non aveva notificato la Casa Bianca e non intendeva pubblicare gli IP. Per identificare il terminale servono registri DHCP, NAT, Wi-Fi e telemetria: soltanto il gestore può associare le connessioni a un dispositivo e verificare un’eventuale esposizione.