In questo articolo Indice dei contenuti 2 sezioni
Per settimane una parte della rete informatica della Casa Bianca è finita nei cataloghi dei proxy residenziali, quei servizi che rivendono l’accesso a connessioni domestiche e aziendali. Chiunque pagasse pochi dollari poteva quindi far passare il proprio traffico Internet attraverso indirizzi IP riconducibili all’Executive Office of the President. Va chiarito subito un punto. La scoperta non dimostra che qualcuno abbia violato i sistemi presidenziali. I ricercatori hanno osservato gli indirizzi pubblici da cui usciva il traffico, senza individuare i dispositivi che lo generavano.
Per capire davvero la portata della vicenda conviene tenere separati tre piani. Ci sono le misurazioni effettuate da Layer3 Intel, poi le ipotesi formulate da Synthient sull’origine del software coinvolto e infine i rischi tecnici già emersi in passate campagne criminali. Le verifiche indipendenti confermano che quegli indirizzi erano classificati come proxy, ma non dicono nulla sull’identità di chi li stava usando.
Come gli indirizzi della Casa Bianca sono finiti nei cataloghi proxy
Layer3 Intel ha reso pubblici i risultati il 4 novembre, dopo aver notato il fenomeno grazie al suo Residential Proxy Observatory. Tra il 5 ottobre e il 3 novembre le richieste di prova sono uscite per 236 volte dalla rete AS2650, quella registrata all’Executive Office of the President. In tutto sono stati coinvolti sei indirizzi IP e 28 diversi servizi proxy. L’azienda sostiene di essersene accorta quasi per caso, mentre chiedeva un accesso rotante a indirizzi sparsi nel mondo, e di aver poi controllato la classificazione insieme a Spur Intelligence e Synthient.
Un dettaglio interessante riguarda gli orari. Circa la metà delle osservazioni si concentra tra le 17 e mezzanotte, ora della costa orientale. Secondo Layer3 questa regolarità fa pensare a un dispositivo usato da una singola persona piuttosto che a una rete WiFi aperta ai visitatori. Resta comunque un’interpretazione, perché i dati individuano soltanto gli indirizzi di uscita e non il computer né il suo utilizzatore.
Synthient dal canto suo ha individuato dispositivi con Windows 10 e 11 che si collegavano a fornitori come Geonode, Infatica e Mellowtel. Come possibile origine ha indicato Rave, un’applicazione pensata per guardare contenuti in streaming in compagnia di altre persone che stando all’azienda integrerebbe ben dodici SDK proxy. Si tratta però di un’ipotesi e non della prova che un dipendente abbia installato l’app o che questa basti a spiegare tutto il traffico rilevato. InfaticaSDK viene descritto come un componente di monetizzazione presente su diverse piattaforme.
Infatica ha sede a Singapore ed è stata fondata da Vladimir Fomenko, che possiede anche King Servers. Proprio quest’ultima società in passato ospitò sei degli otto indirizzi legati agli attacchi russi del 2016 contro i sistemi elettorali di Arizona e Illinois. Quel precedente comunque non prova alcun coinvolgimento di Infatica nell’episodio attuale.
Il rischio per le reti interne e i precedenti
Il timore principale è che dalla connessione proxy si possa arrivare alla rete interna. Un SDK vulnerabile potrebbe permettere ai clienti del servizio di raggiungere risorse locali e spostarsi lateralmente da un sistema all’altro. Layer3 cita a questo proposito Kimwolf, una botnet che secondo Synthient ha infettato oltre due milioni di dispositivi sfruttando reti proxy e terminali Android con ADB esposto. Non esistono però elementi che colleghino la stessa falla alla Casa Bianca né indizi che sistemi interni siano stati effettivamente raggiunti.
Già in precedenza l’FBI aveva messo in guardia su come SDK inseriti nelle app, VPN con condizioni d’uso poco chiare, malware e dispositivi compromessi possano trasformare connessioni del tutto personali in nodi proxy. Spur ha osservato lo stesso fenomeno anche in reti pubbliche e in settori delicati come utility, sanità e finanza.
Layer3 non aveva avvisato la Casa Bianca e non aveva intenzione di diffondere gli indirizzi IP coinvolti. Per risalire al terminale responsabile servono i registri DHCP, NAT e WiFi oltre ai dati di telemetria, e soltanto il gestore della rete è in grado di associare quelle connessioni a un dispositivo preciso e verificare un’eventuale esposizione.
Fonte: TecnoAndroid