نشت ترافیک پروکسی‌های مسکونی از شبکه کاخ سفید
Residential proxy traffic caught leaving the White House network
شرکت Layer3 Intel گزارش داده است که شبکه متعلق به دفتر اجرایی رئیس‌جمهور آمریکا به عنوان نقطه خروجی برای سرویس‌های پروکسی مسکونی مورد استفاده قرار گرفته است. این وضعیت به کاربران خارجی اجازه می‌دهد ترافیک خود را از طریق دستگاه‌های داخل شبکه کاخ سفید هدایت کنند که می‌تواند منجر به دسترسی غیرمجاز به سیستم‌های داخلی شود.
جزئیات فنی و نحوه نشت ترافیک
بر اساس یافته‌های Layer3 Intel، بین ۵ اکتبر تا ۳ نوامبر، ۲۳۶ مورد ترافیک خروجی از طریق AS2650 که متعلق به دفتر اجرایی رئیس‌جمهور است، شناسایی شده است. این ترافیک از طریق ۶ آدرس IP مختلف و ۲۸ سرویس پروکسی مسکونی متفاوت عبور کرده است.
سرویس‌های پروکسی مسکونی با فروش دسترسی به دستگاه‌های کاربران عادی، به مشتریان اجازه می‌دهند ترافیک خود را از طریق این دستگاه‌ها ارسال کنند تا به نظر برسد که ترافیک از شبکه آن دستگاه خاص منشأ گرفته است. در این مورد، هر فردی با پرداخت هزینه اندک به این سرویس‌ها، می‌تواند ترافیک خود را از داخل شبکه کاخ سفید عبور دهد.
منشأ احتمالی و نرم‌افزارهای آلوده
الگوی زمانی ترافیک که عمدتاً بین ساعت ۵ عصر تا نیمه‌شب به وقت شرقی رخ می‌دهد، نشان‌دهنده حضور فردی در شبکه کاخ سفید است که دستگاهش به یک SDK پروکسی آلوده شده است. شرکت Synthient با بررسی‌های بیشتر اعلام کرد که چندین دستگاه ویندوز ۱۰ و ۱۱ در این شبکه با سرویس‌هایی مانند Geonode، Infatica و Mellowtel در ارتباط هستند.
به گفته Synthient، احتمال بالایی وجود دارد که اپلیکیشن Rave.io عامل این نشت باشد؛ چرا که این پلتفرم استریم ویدیو، ۱۲ کیت توسعه نرم‌افزاری (SDK) پروکسی را در خود جای داده است.
خطرات امنیتی و تهدیدات جانبی
کارشناسان هشدار می‌دهند که وجود SDKهای پروکسی با امنیت پایین در یک شبکه حساس، می‌تواند راه را برای نفوذ مهاجمان به سیستم‌های داخلی و حرکت عرضی (Lateral Movement) در شبکه هموار کند. این روش پیش‌تر توسط بات‌نت‌هایی مانند Kimwolf برای آلوده‌سازی میلیون‌ها دستگاه مورد استفاده قرار گرفته است.
این گزارش همچنین تأکید می‌کند که نفوذ پروکسی‌های مسکونی به نقاط دورافتاده جهان از جمله ایستگاه‌های تحقیقاتی در قطب جنوب و جزایر دورافتاده، نشان‌دهنده گستردگی جهانی این تهدید است.
نکته‌های کلیدی
- شناسایی ۲۳۶ مورد خروجی ترافیک از شبکه AS2650 کاخ سفید در بازه زمانی یک ماهه.
- استفاده از سرویس‌های پروکسی مسکونی برای پنهان‌سازی منشأ واقعی ترافیک.
- احتمال نصب اپلیکیشن Rave.io بر روی سیستم‌های ویندوزی کارکنان به عنوان عامل اصلی.
- خطر دسترسی مهاجمان به شبکه‌های داخلی از طریق آسیب‌پذیری‌های موجود در SDKهای پروکسی.
چه باید کرد
- بررسی و شناسایی دستگاه‌های متصل به شبکه که دارای نرم‌افزارهای مشکوک یا SDKهای پروکسی هستند.
- محدودسازی نصب اپلیکیشن‌های غیرضروری و شخص ثالث بر روی سیستم‌های متصل به شبکه‌های حساس.
- پایش ترافیک خروجی شبکه برای شناسایی الگوهای غیرعادی مرتبط با سرویس‌های پروکسی.
- اعمال سیاست‌های سخت‌گیرانه برای جلوگیری از اجرای کدهای مخرب در قالب SDKهای جانبی.