研究者在白宫网络中发现住宅代理出口活动

我们本周早些时候推出的住宅代理观察站是一个首创的界面，让研究人员能够全球性地查看住宅代理和匿名互联网活动。 当我们的团队浏览它时，我们注意到AS2650上的住宅代理出口活动。AS2650注册给总统行政办公室，这是托管白宫网络的联邦机构。住宅代理服务出售对日常设备的访问权，让客户通过这些设备发送流量，使其看起来来自该设备的网络。 为了确保这不是偶然现象，我们将这些地址与其他住宅代理检测服务进行了核对，例如Spur和Synthient。他们的公开IP上下文页面独立地将这些地址识别为住宅代理出口。 这是公开访问。任何人都可以通过注册公共住宅代理服务、支付几美元并通过它发送请求来获得。我们没有选择性地针对这个网络或试图让我们的探测从它退出。我们只是通过这些服务请求全球轮换访问，偶然发现了这一点。 大部分活动发生在东部时间晚上：大约一半发生在下午5点到午夜之间，几乎 none 发生在清晨。这种模式表明是一个人而不是公共访客Wi-Fi网络：有人经常在白宫网络上待到深夜，其设备感染了代理SDK。我们的数据显示的是出口，而不是背后的设备或人。 过去的研究表明，安全性差的代理SDK可以允许内部网络访问和横向移动。这就是过去僵尸网络传播的方式。在《一个破碎的系统助长僵尸网络》中，Synthient的研究人员记录了Kimwolf僵尸网络如何通过住宅代理网络到达至少200万台设备，主要是暴露了ADB服务的Android设备。如果这个网络上的SDK有同样的缺陷，任何购买代理访问权的人都可以用它来访问内部系统。 白宫并不是观察站中唯一的惊喜。住宅代理还到达了地球上一些最孤立的地方。 圣赫勒拿、阿森松和特里斯坦达库尼亚是南大西洋领地，包括世界上最偏远的有人居住岛屿。我们在那里记录了413个地址和超过32,000次观察，分布在Starlink和该岛本地互联网提供商Sure Saint Helena之间。 我们还记录了来自南极洲的三次观察。它们都来自一个指向麦克默多站的Cloudflare WARP地址。 住宅代理已经感染了世界的每一个角落，看起来没有它们无法到达的地方。Layer3 Intel跟踪全球住宅代理和匿名化基础设施。即使代理隐藏在地球最远角落的网络中，我们仍然可以观察到它们，让威胁行为者无处藏身。