La noticia del fallo de seguridad proviene de la firma de seguridad Layer3 Intel, que informó esta semana que descubrió la probable actividad ilícita gracias a su recientemente lanzado Observatorio de Proxies Residenciales . Según el fundador de Layer3, Sergiy Usatyuk, la actividad de proxy residencial de la Casa Blanca podría haber pasado desapercibida si no fuera por la nueva herramienta.

“El observatorio es solo una interfaz pública para explorar los datos que hemos estado recopilando durante el último año”, dijo Usatyuk en un correo electrónico.

Para aquellos que no estén familiarizados con los proxies residenciales, son como cualquier red de proxy que oculta la ubicación de un usuario, excepto que en este caso sus nodos de salida utilizan direcciones IP asociadas a conexiones de internet residenciales, a diferencia de los centros de datos. Aunque muchos son legítimos, otros son explotados por actores de amenazas y utilizados para cometer ciberdelitos, como advirtió el FBI a principios de este año.

El boletín del FBI, publicado en marzo, advierte a los usuarios que protejan sus sistemas contra el secuestro mediante malware, asociaciones ilícitas de SDK, VPN con términos de servicio ocultos que reutilizan las computadoras de los usuarios como nodos de salida y otras amenazas utilizadas para convertir a las víctimas en nodos sin su consentimiento.

Los proxies residenciales son comúnmente utilizados por actores de amenazas para ocultar la infraestructura de comando y control (C2), realizar ataques de phishing, enviar spam, disfrazar el tráfico malicioso y similares, explicó el FBI.

Según Layer3, sus datos muestran 28 servicios de proxy residencial distintos saliendo hacia la red de la Casa Blanca casi todos los días entre el 5 de octubre y el 3 de noviembre, con 236 salidas separadas en ese período. Otros servicios de detección de proxies residenciales registraron la misma información, dijo Layer3.

La mayor parte de la actividad ocurría por la tarde, hora de la Casa Blanca, entre las 5 p.m. y la medianoche. Eso, dijo Layer3, sugiere que alguien en la Casa Blanca —no un invitado— tiene un dispositivo infectado que sirve como salida, probablemente a través de un SDK de proxy infectado. Si es correcto, eso es un problema.

“Investigaciones previas han demostrado que los SDK de proxy mal asegurados pueden permitir el acceso a la red interna y el movimiento lateral”, explicó Layer3. “Si un SDK en esta red tiene el mismo tipo de falla, cualquiera que compre acceso al proxy podría usarlo para llegar a los sistemas internos”.

En otras palabras, este es un riesgo de seguridad grave, y uno que Usatyuk nos dice que podría haber sido un problema durante un tiempo.

“Nuestro período de retención de datos se remonta al 10 de julio”, explicó el fundador de Layer3. “Dado que hubo actividad continua durante varios meses y otros servicios de detección de proxies residenciales verificaron los datos de forma independiente, es probable que las IPs de la Casa Blanca hayan sido utilizadas por redes de proxies residenciales para todo tipo de actividades desde hace tiempo”.

Usatyuk dijo que los datos de su firma no son lo suficientemente detallados para saber cuántas máquinas están siendo utilizadas como nodos de salida dentro de la red de la Casa Blanca. Nos remitió a una publicación en X de la firma de seguridad Synthient, que afirmó creer que hay múltiples dispositivos Windows 10 y 11 en la red de la Casa Blanca que probablemente tienen instalado el SDK de Infatica.

Infatica ofrece un kit de desarrollo de software (SDK) que permite a los desarrolladores de aplicaciones monetizar las conexiones a internet de los usuarios convirtiendo sus dispositivos en nodos de salida de proxy residenciales. La posibilidad de que este software se esté ejecutando en dispositivos asociados con la red de la Casa Blanca plantea serias preocupaciones de seguridad: el software de proxy vulnerable podría proporcionar a los atacantes una ruta hacia los sistemas internos.

Usatyuk nos dijo que la actividad de proxy residencial más reciente en la red de la Casa Blanca ocurrió el miércoles por la noche, “horas después de que el blog se publicara”, pero que desde entonces se ha detenido. El Departamento de Estado de los EE. UU. contactó a Layer3 el jueves por la mañana para solicitar una copia de los registros de la empresa, que Usatyuk nos dice que ya ha enviado.

“Esperemos que hayan resuelto la situación”, añadió Usatyuk —y esperemos que antes de que se haya expuesto cualquier secreto gubernamental.

La Casa Blanca no respondió a las preguntas para esta historia.®

Fuente:
TheRegister