Beyaz Saray ağında konut proxy'si etkinliği tespit edildi

Güvenlik araştırmacıları, Beyaz Saray'ın ağında residential proxy etkinliği tespit etti. Layer3 Intel ve Synthient adlı güvenlik firmalarının bulgularına göre, ağdaki bir cihazda çalışan yazılım, dışarıdan herhangi birinin düşük bir ücret karşılığında Beyaz Saray ağı üzerinden internete çıkmasına imkân tanıyor olabilir.

Bu durum, ağa bağlı bir cihaza kurulu proxy bileşeninin o cihazın IP adresini üçüncü kişilerin kullanımına açmasından kaynaklanıyor görünüyor. Layer3 Intel, söz konusu erişimin herkese açık olduğunu, bir proxy hizmetine kaydolup birkaç dolar ödeyen herkesin bu yolla istek gönderebileceğini vurguluyor.

Residential proxy nedir, nasıl çalışır?

Residential proxy, bir ev kullanıcısına ait IP adresinin kiralanarak internet trafiğinin bu adres üzerinden yönlendirilmesi anlamına geliyor. Böylece trafiği gönderenin gerçek konumu gizlenebiliyor. Bazı uygulamalar ve tarayıcı eklentileri, üçüncü taraf yazılım geliştirme kitleri (SDK) aracılığıyla kullanıcının cihazına proxy düğümü yerleştirebiliyor; bu, çoğu zaman kullanıcının haberi olmadan gerçekleşiyor. Ardından proxy hizmetleri bu cihazlar üzerinden erişimi satışa sunabiliyor.

Güvenlik firması Spur'un da belirttiği gibi, residential proxy'ler reklam doğrulama ve kalite güvence testleri gibi meşru amaçlarla kullanılabiliyor. Öte yandan kötü niyetli kişiler de coğrafi kısıtlamaları ve koruyucu filtreleri aşmak için bu yöntemden yararlanabiliyor. Botnet oluşturma ve hesap ele geçirme saldırıları, bu tür proxy'lerin suistimal edildiği örnekler arasında sayılıyor.

Araştırmacıların tespit ettikleri

Layer3 Intel'in verilerine göre, 5 Ekim ile 3 Kasım arasında Beyaz Saray ağından trafik çıkaran 28 residential proxy hizmeti saptandı. Etkinliğin genellikle Doğu Saati ile 17.00 ile gece yarısı arasında yoğunlaştığı belirtildi. Firma, bu düzenin herkese açık bir misafir Wi-Fi ağından çok, akşam geç saatlere kadar ağda bulunan ve cihazına proxy SDK'sı bulaşmış bir kişiye işaret ettiğini değerlendiriyor.

Synthient ise ağdaki bazı Windows 10 ve Windows 11 cihazlarının Geonode, Infatica ve Mellowtel gibi bilinen proxy sağlayıcılarına sinyal gönderdiğini açıkladı. Firmaya göre ilgili SDK, birlikte izleme uygulaması Rave ile bağlantılı olabilir; Synthient, bu uygulamanın platformuna 12 proxy SDK'sı dahil ettiğini belirtiyor.

Sağlayıcılardan biri geçmişte dikkat çekmişti

Bildirildiğine göre adı geçen sağlayıcılardan Infatica, King Servers'ın sahibi Vladimir Fomenko tarafından kurulmuş durumda. King Servers ise 2016'da Illinois ve Arizona'daki seçim sistemlerine yönelik siber saldırılarla ilişkilendirilmişti.

Layer3 Intel'in uyarısına göre bu proxy erişimi herkese açık; yani proxy hizmetine kaydolup birkaç dolar ödeyen herkes isteklerini bu yolla gönderebiliyor.