白宫网络检测到住宅代理

我们于本周早些时候推出的住宅代理观测站，是一个首创的界面，为研究人员提供了住宅代理和匿名互联网活动的全球视图。

当我们查看该观测站时，注意到 AS2650 上存在住宅代理出口活动。AS2650 注册给总统办公室，即托管白宫网络的联邦机构。住宅代理服务出售日常设备的访问权限，让客户可以通过这些设备发送流量，使其看起来来自该设备的网络。

我们的观察

从 10 月 5 日到 11 月 3 日：

· 我们的住宅代理枚举管道通过白宫网络出口了 236 次。

· 这些出口来自 6 个地址，在 30 天中的 26 天出现。

· 有 28 个不同的住宅代理服务能够通过该网络出口。

为了确保这不是偶然，我们将这些地址与其他住宅代理检测服务进行了比对，例如 Spur 和 Synthient。它们各自的公共 IP 上下文页面独立地将这些地址识别为住宅代理出口。

这是公开访问。任何人都可以通过注册公共住宅代理服务、支付几美元并通过其发送请求来获取。我们没有针对该网络进行选择性攻击，也没有试图让我们的探针从该网络出口。我们只是通过这些服务请求全球轮换访问时偶然发现了这一点。

为何这令人担忧

大多数活动发生在东部时间晚上：大约一半发生在下午 5 点到午夜之间，几乎没有任何活动发生在清晨。这种模式表明是个人而非公共访客 Wi-Fi 网络：有人在白宫网络中深夜经常出现，其设备感染了代理 SDK。我们的数据显示的是出口，而不是出口背后的设备或人员。

过去的研究表明，安全性较差的代理 SDK 可能允许内部网络访问和横向移动。这就是过去僵尸网络传播的方式。在《A Broken System Fueling Botnets》（助长僵尸网络的破碎系统）一文中，Synthient 的研究人员记录了 Kimwolf 僵尸网络如何通过住宅代理网络感染了至少 200 万台设备，主要是具有暴露 ADB 服务的 Android 设备。

如果该网络上的 SDK 存在类似的漏洞，任何购买代理访问权限的人都可以利用它来访问内部系统。

没有地方太偏远

白宫并不是观测站中唯一的意外。住宅代理也到达了地球上一些最偏远的地区。

圣赫勒拿、阿森松和特里斯坦-达库尼亚是南大西洋领土，包括世界上最偏远的有人居住的岛屿。我们在那里记录了 413 个地址和超过 32,000 次观测，分布在 Starlink 和该岛的本地互联网提供商 Sure Saint Helena 之间。

我们还从南极洲记录了三次观测。它们都来自一个指向麦克默多站的 Cloudflare WARP 地址。

其他有活动的偏远地区：

· 皮特凯恩群岛（Pitcairn）：1个 Starlink 地址，1次观测记录。

· 诺福克岛（Norfolk Island）：1个 Norfolk Telecom 地址，4次观测记录。

· 斯瓦尔巴（Svalbard）：朗伊尔城（Longyearbyen）有1个 Starlink 地址，3次观测记录。

· 同样发现于：福克兰群岛（388个地址）、查戈斯群岛（43个地址）、托克劳（21个地址）以及南乔治亚岛（7个地址）。

住宅代理（Residential proxies）已经感染了世界的每一个角落，看起来似乎没有它们到达不了的地方。Layer3 Intel（Layer3 Intel）在全球范围内追踪住宅代理和匿名化基础设施。即便代理隐藏在地球最偏远角落的网络中，我们依然能够观测到它们，让威胁行为者无处遁形。

致相关机构：我们已备份了记录活动的原始日志，并愿意将其分享。您可以通过我们的联系页面进行索取。