Una aplicación de uso compartido de ancho de banda instalada por un empleado puede convertir silenciosamente un dispositivo de trabajo en una puerta de enlace para tráfico externo. Aunque no actúa como un malware tradicional, el software Peer2Profit puede exponer la conexión a internet de una empresa y poner potencialmente los sistemas internos al alcance de usuarios de proxy externos.

Una aplicación de uso compartido de ancho de banda instalada por un empleado puede convertir silenciosamente un dispositivo de trabajo en una puerta de enlace para el tráfico externo.

Es posible que el software no se comporte como el malware tradicional, pero puede exponer la conexión a internet de una empresa y, potencialmente, poner los sistemas internos al alcance de usuarios de proxy que pagan.

El riesgo proviene de Peer2Profit, una aplicación que paga a los usuarios por compartir el ancho de banda de internet que no utilizan.

Los investigadores descubrieron que el servicio alimenta dispositivos en Astroproxy, donde las mismas conexiones se revenden como acceso a proxy residenciales, móviles o de centros de datos.

Analistas de Silent Push identificaron un vínculo operativo activo entre Peer2Profit y Astroproxy después de registrar un dispositivo de prueba y observar que su dirección IP aparecía en el grupo de proxies de Astroproxy.

El hallazgo muestra cómo una aplicación voluntaria de estilo consumidor puede crear un problema de seguridad empresarial sin activar las alertas estándar del antivirus.

El problema es más amplio que un solo producto. Las redes de proxies residenciales hacen que el tráfico parezca provenir de hogares, teléfonos y oficinas comunes, razón por la cual las redes de proxies residenciales ocultan los ataques tan eficazmente.

Los atacantes pueden usar dicho tráfico para ataques de cuentas, fraudes, escaneos y otras actividades mientras se mezclan con usuarios legítimos.

Silent Push encontró 117,224 direcciones IP únicas en los grupos residenciales, móviles y de centros de datos de Astroproxy durante un período de observación de 72 horas.

Solo el grupo residencial añadió un promedio de 1,071 direcciones nuevas cada hora, lo que hace que las herramientas habituales de reputación de IP reaccionen lentamente.

Silent Push dijo en un informe que los dispositivos expuestos pueden incluir sistemas corporativos registrados por empleados que buscan obtener pequeños pagos.

El informe advierte que las consecuencias pueden incluir abusos rastreados hasta la dirección IP de una empresa, inclusión en listas negras, daños a la reputación y acceso a servicios de red locales.

Una aplicación de uso compartido de ancho de banda puede convertir los dispositivos de los empleados en puertas de enlace

Peer2Profit ha operado al menos desde 2021 y ofrece pequeños pagos basados en el volumen de tráfico que pasa a través de un dispositivo registrado.

La aplicación es compatible con Android y macOS, mientras que kits de desarrollo de software anteriores para Windows y Linux permitieron a los desarrolladores integrar su función de compartido en otras aplicaciones.

El proceso de incorporación está diseñado para ser sencillo. Puedes registrarte a través de un bot de Telegram, instalar un cliente, monitorear el tráfico y retirar las ganancias en criptomonedas.

Esa baja barrera significa que un trabajador puede instalar la aplicación en un endpoint corporativo o en un dispositivo personal conectado a la red de la oficina.

Una vez activa, el dispositivo mantiene una conexión saliente hacia un servidor de "backconnect". Un cliente de proxy puede entonces enviar tráfico a través de ese dispositivo, haciendo que los sitios web y servicios vean la solicitud como si se originara desde la dirección IP residencial o corporativa del empleado.

Esto crea un problema grave de atribución. Abusos como el relleno de credenciales (credential stuffing), fraudes o escaneos automatizados pueden vincularse a la organización cuya conexión fue utilizada, incluso si la empresa no inició la actividad.

Informes recientes sobre la exposición de botnets de relleno de credenciales ilustran cómo los ataques automatizados apoyados por proxies pueden operar a gran escala.

Los investigadores descubrieron que Peer2Profit pagaba a los usuarios 0.28 USD por GB de tráfico residencial, mientras que Astroproxy cobraba a los clientes 7.60 USD por GB.

El tráfico móvil se pagaba a 0.35 USD por GB y se vendía a 13.44 USD por GB, lo que demuestra por qué las conexiones residenciales y móviles son valiosas para los operadores de proxies. Las herramientas tradicionales de endpoint podrían no clasificar un programa de uso compartido de ancho de banda basado en el consentimiento como malicioso.

Por lo tanto, los equipos de seguridad deberían revisar las políticas de software, inspeccionar la actividad de DNS, hacer un inventario de las extensiones del navegador y las aplicaciones de consumo, y monitorear las conexiones a la infraestructura de control de proxies conocida.

La evasión de DNS aumenta el riesgo interno

El hallazgo más preocupante involucró el acceso a la red interna. Astroproxy bloqueaba las solicitudes directas a rangos de IP privadas, pero Silent Push descubrió que esta restricción podía evadirse cuando un nombre de dominio se resolvía en una dirección IP interna.

Utilizando un nodo registrado en Peer2Profit, los investigadores accedieron a la interfaz de gestión de un router residencial a través de Astroproxy y descargaron un archivo PNG como prueba de acceso.

La prueba demostró que un usuario de proxy podría interactuar potencialmente con recursos que normalmente solo son accesibles desde el interior de la red afectada.

En un entorno corporativo, esto podría incluir routers, almacenamiento conectado a la red (NAS), dispositivos inteligentes, servidores de prueba u otros servicios internos.

El peligro se vuelve más significativo cuando los trabajadores remotos se conectan a las VPN de la empresa o cuando los dispositivos personales se mueven entre la red del hogar y la de la oficina.

Los investigadores informaron responsablemente sobre la evasión antes de la publicación, pero reportaron que no se había producido una remediación significativa.

La situación refuerza por qué las organizaciones deben segmentar las redes internas, restringir las interfaces de gestión y evitar depender únicamente de los controles de acceso basados en IP.

Los defensores también deberían identificar los endpoints que ejecuten software de uso compartido de ancho de banda y bloquear las conexiones innecesarias a la infraestructura de backconnect de proxies.

El monitoreo proactivo es importante porque una IP de consumidor limpia puede convertirse en un nodo de salida de proxy con muy poco aviso, un problema también visto en interrupciones de redes de proxies importantes.

Las organizaciones deben tratar estas aplicaciones como una preocupación de seguridad de red y de políticas, no simplemente como software no deseado.

Una guía clara para el empleado, listas blancas de aplicaciones, monitoreo de DNS, segmentación de red y revisiones rutinarias de endpoints pueden reducir la posibilidad de que el dispositivo de un trabajador se convierta en un punto de entrada para clientes de proxy externos.

Fuentes:
https://cybersecuritynews.com/bandwidth-sharing-app/