In questo articolo Indice dei contenuti 2 sezioni
La White House network è finita dentro un caso che, per quanto sembri distante, racconta molto bene quanto una proxy residenziale possa trasformarsi in un problema serio anche fuori dai palazzi del potere. Alcuni ricercatori di cybersicurezza hanno individuato diversi servizi di proxy residenziali che risultavano originare dalla rete della Casa Bianca, aprendo l’ipotesi di una falla capace di far passare traffico attraverso indirizzi IP governativi ufficiali, una tentazione evidente per i criminali informatici.
Proxy residenziali rilevati sulla rete della Casa Bianca e perché il tema pesa
A individuare l’attività è stata Layer3 Intel, che ha rilevato traffico tipico da residential proxy su AS2650, una rete registrata all’Executive Office of the President. Un’altra società di sicurezza ha poi segnalato la presenza di software collegato al server proxy Infatica, azienda di proprietà di un imprenditore russo che in passato aveva gestito una società di noleggio server usata da hacker negli attacchi ai sistemi elettorali in Arizona e Illinois nel 2016. Anche qui, dettaglio chiave, non ci sono prove che quell’accesso proxy sia stato sfruttato per portare attacchi contro la Casa Bianca, però il punto non è questo. Il punto è che una porta può rimanere socchiusa senza che nessuno se ne accorga.
Gli esperti sottolineano che una situazione simile può offrire un canale utile a chi cerca vulnerabilità, oppure può concedere a soggetti esterni un ingresso non monitorato in sistemi ad alta sicurezza. Una proxy network di questo tipo instrada il traffico attraverso dispositivi consumer, come smartphone, portatili o router domestici, facendo apparire l’attività come se fosse quella di una persona reale. È una tecnologia che nasce anche per usi relativamente innocui, per esempio il web scraping, ma è altrettanto nota per essere sfruttata in attacchi malware, furti di identità e creazione di account social falsi.
Layer3 ha indicato anche un perimetro temporale preciso: traffico in uscita da sei indirizzi IP distinti della rete della Casa Bianca, passando da almeno 28 servizi noti di proxy residenziali tra il 5 ottobre e il 3 novembre, con picchi soprattutto la sera tra le 17 e mezzanotte fuso orario EST. Il quadro fa pensare a un dipendente che avrebbe collegato un dispositivo personale a una rete Wi Fi con un’app compromessa o con una proxy SDK attiva in background, visto che alcune SDK di terze parti possono trasformare un dispositivo in un nodo proxy.
Il tema diventa ancora più concreto quando si passa al modello di business. Le reti proxy commerciali vendono accesso a questi nodi, quindi chiunque, con pochi euro, potrebbe noleggiare un IP considerato affidabile. In questo caso, un indirizzo che farebbe apparire il traffico come originato dall’Executive Office of the President, con tutto ciò che comporta in termini di credibilità e potenziale abuso. Secondo Synthient, alcuni membri dello staff della Casa Bianca starebbero utilizzando una macchina con Windows 11 con InfaticaSDK installata. La stessa società ha indicato anche Rave, app nota per guardare servizi di streaming con gli amici, come probabile meccanismo di distribuzione del traffico proxy rilevato sulla White House network. Spur Intelligence ha inoltre scritto che sarebbero stati trovati diversi tipi di società proxy nella rete, incluso 9Proxy, spesso usato per frodi bancarie. La Casa Bianca non ha risposto a una richiesta di commento.
Come le proxy entrano nei dispositivi di casa e quali controlli fare
Il caso Casa Bianca serve da promemoria, perché in casa il controllo è spesso ancora più debole. Smart TV, elettrodomestici connessi e router domestici tendono ad avere poca supervisione da parte di chi li usa. Basta un’app non verificata o un firmware non aggiornato per trasformare una rete di dispositivi IoT in un nodo di uscita per una proxy network commerciale.
In pratica, i proxy possono agganciarsi ai dispositivi consumer inserendo codice di rete direttamente nel software, in modo consensuale, quando l’utente installa volontariamente qualcosa, o non consensuale, sfruttando punti di accesso non protetti. Spesso tutto parte da una scelta economica degli sviluppatori, che cercano ricavi integrando una proxy SDK dentro app gratuite. A quel punto, durante l’installazione, nelle condizioni d’uso può comparire una clausola che autorizza l’aggiunta dell’indirizzo IP in un pool proxy di terze parti. E nella vita reale succede spesso che quelle condizioni vengano accettate in fretta, magari solo per togliere una pubblicità o sbloccare una funzione.
Un report di giugno di Spur Intelligence ha rilevato che circa 1 app su 3 disponibili sulle smart TV Samsung e LG vendeva gli indirizzi IP degli utenti. Una volta installata, la SDK può continuare a girare in background e registrare l’IP del dispositivo sul gateway del fornitore proxy, a meno che l’app non venga eliminata o non si faccia opt out. Nello stesso report viene anche indicato che Amazon e Roku hanno vietato esplicitamente questa pratica. Anche una VPN gratuita può esporre a rischi simili, permettendo che l’IP venga usato da altri per attività illecite, e le indicazioni dell’FBI sulla protezione dalle proxy citano proprio le VPN gratuite tra le strade principali con cui i malintenzionati ottengono accesso a un indirizzo IP.
A volte non serve nemmeno scaricare qualcosa. Un’indagine di Synthient ha individuato oltre 1,3 milioni di dispositivi di streaming del produttore cinese MECOOL infettati con proxy SDK. Inoltre SocksEscort, un servizio proxy, è stato incriminato dal Dipartimento di Giustizia a marzo per aver compromesso migliaia di router e averli usati per inviare richieste fraudolente di sussidi di disoccupazione.
Per verificare se una rete sta veicolando traffico proxy senza saperlo, Layer3 mette a disposizione uno strumento gratuito che controlla se un IP è presente nel suo database di oltre 70 milioni di proxy, e GreyNoise offre un servizio gratuito di controllo IP. Questi strumenti segnalano il passaggio di traffico proxy, ma non dicono quale dispositivo stia eseguendo la SDK. Per arrivare al colpevole serve un controllo aggiuntivo, partendo dalle fonti più comuni come VPN gratuite, app di gioco, box streaming venduti con promessa di prezzo unico senza abbonamenti e alcune app per smart TV. Gli esperti consigliano anche di mantenere aggiornato il firmware dei dispositivi connessi e di scaricare app soltanto da store considerati affidabili.
Fonte: TecnoAndroid