Indirizzi IP della Casa Bianca sarebbero disponibili in vendita attraverso servizi di proxy residenziali installati su computer e dispositivi mobili di alcuni dipendenti. Le ricerche condotte da Layer3 Intel indicano che alcuni fornitori hanno base in Russia e in Cina. Chi sottoscrive un abbonamento può utilizzare la rete interna per mascherare il proprio traffico, una pratica ricorrente negli attacchi informatici.
Nel periodo compreso tra il 5 ottobre e il 3 novembre, gli esperti hanno individuato attività riferibili a 28 proxy residenziali sulla rete AS2650. Quest’ultima comprende sei indirizzi IP assegnati all’ufficio esecutivo del Presidente. Durante il monitoraggio sono state registrate 236 occorrenze di traffico in uscita.
La concentrazione delle connessioni si colloca soprattutto fra le 17:00 e le 24:00, ora della costa orientale. Secondo Layer3 Intel, qualcuno si collega regolarmente alla rete della Casa Bianca fino a tarda sera. All’interno dell’edificio ci sarebbero quindi dispositivi infettati da proxy SDK.
Secondo Synthient, il traffico proviene principalmente da computer con Windows 10 e 11, sui quali è stato installato il servizio proxy di Infatica. L’azienda è stata fondata dal russo Vladimir Fomenko, proprietario di King Servers: gli indirizzi IP di quest’ultima sono stati impiegati per compromettere i sistemi elettorali in Arizona e Illinois nel 2016.
Il servizio di Infatica e altri 11 proxy SDK sono stati probabilmente installati tramite l’app Rave. L’effetto di questi strumenti consiste nel nascondere il traffico, facendo apparire come originari dalla Casa Bianca eventuali attacchi informatici. Per sfruttare gli indirizzi IP, ai cybercriminali basta acquistare un abbonamento.
Il fondatore di Layer3 Intel ha riferito che il traffico in uscita è cessato dopo la pubblicazione della scoperta sul blog aziendale. I dispositivi compromessi sono stati probabilmente disconnessi da Internet. Il Dipartimento di Stato ha inoltre richiesto e ricevuto una copia dei log.
