Layer3 Intel 研究发现，白宫网络已成为住宅代理服务的出口节点，这种情况可能为攻击者打开通道，入侵这一全球防护等级最高的网络之一。
这家威胁情报公司在一篇博客文章中披露，10月5日至11月3日期间，其代理枚举管道的流量共236次通过AS2650（即注册在美国总统行政办公室名下的网络）流出。
监测周期共30天，其中26天都检测到此类出口流量，来源为6个独立IP地址，共有28家不同的住宅代理服务提供这条路由。
住宅代理服务对外出售普通民用设备的访问权限，付费客户可通过这些设备转发流量，让自身流量看起来像是发自对应设备所在的网络。在此次事件中，经过这条路由的客户流量会被伪装成来自白宫内部网络。
Layer3 Intel 团队指出：”这是公开可访问的路径。任何人只要注册公共住宅代理服务，花几美元，就可以通过它发送请求，使用这条出口路由。”
该公司强调，研究过程中他们并未主动瞄准白宫网络，也没有刻意引导探测流量从该网络流出。工作人员在查看公司”住宅代理观测台”（Residential Proxy Observatory）的全局数据时发现了这一异常，当时他们只是正常通过代理服务申请全球轮换访问权限。
为排除偶发误差，他们将这些地址与其他代理检测服务的结果交叉核验，后者的公开IP查询页面也独立将这些地址标记为住宅代理出口节点。
Part 01
流量时间特征明显
流量的出现时间为Layer3 Intel判断来源提供了关键线索。约一半流量出现在美国东部时间下午5点至午夜之间，凌晨时段几乎没有相关活动。
该公司认为，这种时间模式表明”有白宫网络内的用户经常加班到深夜，其使用的设备被植入了代理SDK”。不过现有数据仅能观测到出口流量，无法定位具体设备或使用者身份。
安全研究员Matt Johansen在X平台上发文称：”下午5点到午夜之间仍在白宫的人员中，有部分设备已经失陷，至少有部分设备正在向僵尸网络提供住宅代理访问权限。”
Part 02
溯源锁定可疑流媒体应用
Layer3 Intel用于交叉核验地址的检测服务商Synthient，给出了更具体的溯源结论。11月4日，该公司表示”有数名白宫工作人员使用的Windows 11设备安装了InfaticaSDK”。
次日，该公司进一步解释，其技术能力支持按单会话维度检测设备状态，检测结果显示”多台Windows 10、Windows 11设备正在向Geonode、Infatica、Mellowtel等已知代理服务商发送信标”。
Synthient 表示：”我们高度确信，设备上安装的是共享流媒体应用Rave[.]io，该平台共捆绑了12款代理SDK。” Rave[.]io支持多人同步观看视频，可在Mac、iPhone、Android、Windows等多平台运行。
Part 03
代理SDK存安全缺陷
Layer3 Intel援引过往研究指出，防护薄弱的代理SDK可让外部攻击者接入内部网络，进而实施横向移动。
该公司写道：”过往多起僵尸网络传播事件都利用了这类风险。Synthient研究人员在《催生僵尸网络的破损系统》（A Broken System Fueling Botnets）报告中记录了Kimwolf僵尸网络的传播路径：该网络通过住宅代理网络累计感染至少200万台设备，其中大部分是ADB服务暴露在公网的Android设备。”
他们警告称：”如果白宫网络内的这款SDK存在同类漏洞，任何购买代理访问权限的攻击者都可以利用它接入白宫内部系统。”
Part 04
代理节点覆盖范围极广
该观测台还在全球多个极度偏远的地区发现了代理节点。研究人员在圣赫勒拿、阿森松和特里斯坦-达库尼亚地区记录到413个代理地址、超过3.2万条观测记录，这处南大西洋海外领地拥有全球最偏远的有人居住岛屿。
研究人员还在南极洲观测到3条代理记录，全部来自与麦克默多站关联的Cloudflare WARP地址。
该公司总结道：”住宅代理节点已经渗透到世界各个角落，看起来没有任何区域能够幸免。”
参考来源：
Residential proxy traffic caught leaving the White House network
https://www.helpnetsecurity.com/2026/11/06/white-house-residential-proxy-traffic/
推荐阅读
电报讨论
📰 相关阅读
— 阅读原文请访问微信公众号「FreeBuf」 · 原文链接 —
暂无评论内容