研究机构在白宫网络中检测到住宅代理出口活动

我们本周早些时候推出的住宅代理观测站是一个首创的界面，让研究人员能够全球范围内查看住宅代理和匿名化互联网活动。 当我们的团队浏览它时，我们注意到AS2650上有住宅代理出口活动。AS2650注册给总统行政办公室，这是一个承载白宫网络的联邦机构。住宅代理服务出售对日常设备的访问权限，让客户通过这些设备发送流量，使其看起来来自该设备的网络。 为了确认这不是偶然现象，我们将这些地址与其他住宅代理检测服务进行了核对，例如Spur和Synthient。他们的公开IP上下文页面独立地将这些地址识别为住宅代理出口。 这是公开访问。任何人都可以通过注册一个公共住宅代理服务、支付几美元并通过它发送请求来获得访问。我们并没有选择性地针对这个网络或试图让我们的探测从它退出。我们只是通过这些服务请求全球轮换访问，偶然发现了这一点。 大部分活动发生在东部时间晚上：大约一半发生在下午5点到午夜之间，几乎没有任何活动发生在清晨。这种模式表明是一个人而不是公共访客Wi-Fi网络：有人经常在白宫网络上待到深夜，其设备感染了代理SDK。我们的数据显示的是出口，而不是背后的设备或人。 过去的研究表明，安全性较差的代理SDK可能允许内部网络访问和横向移动。过去的僵尸网络就是这样传播的。在《一个滋养僵尸网络的破碎系统》中，Synthient的研究人员记录了Kimwolf僵尸网络如何通过住宅代理网络至少感染了200万台设备，其中大多数是暴露了ADB服务的Android设备。如果这个网络上的某个SDK有同样的缺陷，任何购买代理访问权限的人都可以利用它来访问内部系统。 白宫并不是观测站中唯一的惊喜。住宅代理也触及了地球上一些最孤立的地方。 圣赫勒拿、阿森松和特里斯坦-达库尼亚是南大西洋领地，包括世界上最偏远的有人居住的岛屿。我们在那里记录了413个地址和超过32,000次观测，分布在Starlink和该岛本地互联网提供商Sure Saint Helena之间。 我们还记录了来自南极洲的三次观测。它们都来自一个指向麦克默多站的Cloudflare WARP地址。 住宅代理已经感染了世界的每一个角落，似乎没有它们无法到达的地方。Layer3 Intel在全球范围内跟踪住宅代理和匿名化基础设施。即使代理隐藏在地球最偏远的角落的网络中，我们仍然可以观察到它们，让威胁行为者无处藏身。