Pour quelques dollars, on pouvait naviguer sur Internet sous une adresse de la Maison-Blanche

Entre le 5 octobre et le 3 novembre, les requêtes web de la société d'analyse Layer3 Intel sont sorties 236 fois par le réseau de la Maison-Blanche. Elle n'a rien piraté. Elle a seulement payé des services de « proxy résidentiel », qui revendent un accès à Internet passant par les connexions de particuliers ou d'entreprises.

Dans un billet publié le 4 novembre, Layer3 Intel indique avoir relevé ces sorties sur six adresses du réseau AS2650, enregistré au nom de l'Executive Office of the President, les services de la présidence américaine. Vingt-huit services de proxy différents permettaient d'y passer, 26 jours sur 30. Un tel accès s'achète pour quelques dollars, souligne l'entreprise, qui dit avoir fait cette découverte par hasard. Aucune réaction de la Maison-Blanche n'a été rapportée.

Comment fonctionne un proxy résidentiel ?

Ces services font passer le trafic de leurs clients par de vraies connexions, domestiques ou professionnelles. Le site visité croit recevoir la visite d'un internaute ordinaire. C'est un outil courant des cybercriminels, au point que le FBI a publié en mars une alerte sur ces réseaux. Le relais est souvent un appareil sur lequel tourne un kit logiciel de proxy (SDK), intégré à une application.

Un trafic qui commence le soir

Le rythme de cette activité est parlant. Environ la moitié des sorties ont lieu entre 17 heures et minuit, heure de la côte Est, et presque aucune tôt le matin. Pour Layer3 Intel, ce profil fait penser à l'appareil d'une personne plutôt qu'au Wi-Fi des visiteurs. L'entreprise reste prudente : ses données montrent les points de sortie, écrit-elle, « pas l'appareil ni la personne derrière ».

Synthient, une jeune entreprise qui repère ces réseaux, va plus loin. Selon SecurityWeek, elle a d'abord relié le trafic à des machines sous Windows 11 équipées d'InfaticaSDK, le kit d'Infatica. Cette société basée à Singapour revendique l'accès à plus de 45 millions d'adresses IP. Le 5 novembre, Synthient a affiné sa piste sur X : elle a repéré des appareils sous Windows 10 et 11 en contact avec les kits de Geonode, d'Infatica et de Mellowtel, et estime avec une grande confiance que l'application installée est Rave, une application de streaming partagé qui intègre douze kits de proxy, rapporte Gizmodo.

Faut-il s'inquiéter ? Le trafic relayé ne donne pas, à lui seul, accès aux fichiers de l'appareil ni au réseau interne, rappelle Next. Mais Layer3 Intel prévient que des kits de proxy mal sécurisés peuvent ouvrir l'accès au réseau interne. Elle cite un précédent, le réseau de machines piratées Kimwolf : au moins 2 millions d'appareils, surtout sous Android, selon les recherches de Synthient.

Vos postes servent-ils aussi de relais ?

Si le réseau de la présidence américaine n'y échappe pas, rien ne garantit qu'un réseau d'entreprise soit épargné. Ces kits arrivent souvent avec une application gratuite, un VPN « offert » ou un boîtier TV, installés sans mauvaise intention.

• Vérifiez la réputation de vos adresses IP publiques auprès des services qui recensent les sorties de proxys résidentiels, comme Spur ou Synthient, ceux-là mêmes qu'a utilisés Layer3 Intel.
• Faites l'inventaire des logiciels installés sur les postes et retirez ceux qui ne sont pas autorisés, en particulier les VPN gratuits et les applications qui proposent de « partager » votre connexion.
• Placez les appareils personnels et les objets connectés (télévisions, boîtiers TV) sur un réseau séparé de celui des postes de travail.
• Surveillez les connexions sortantes inhabituelles, notamment le soir.

Layer3 Intel dit avoir sauvegardé ses journaux bruts et être prête à les transmettre aux agences concernées. Reste à savoir si quelqu'un, à Washington, viendra les lui demander, et quel appareil servait de relais.