Constat initial

Le Residential Proxy Observatory de Layer3 Intel a relevé, entre le 5 octobre et le 3 novembre, 236 sorties d’activités de proxy résidentiel depuis le réseau de la Maison-Blanche (AS2650). Ces sorties proviennent de six adresses IP distinctes, observées sur 26 jours sur les 30 étudiés, et impliquent 28 services de proxy résidentiel différents. La validation croisée avec les bases de données publiques de Spur et Synthient confirme que ces adresses sont classées comme sorties de proxy résidentiel.

Mécanismes des proxies résidentiels

Un proxy résidentiel exploite la connexion Internet d’un appareil « ordinaire » (smartphone, routeur, PC) pour relayer le trafic. Le service vend un accès à ces appareils, ce qui fait apparaître les requêtes comme provenant du réseau domestique de l’appareil. Le SDK installé sur l’appareil crée un tunnel chiffré vers le serveur du client, mais si le SDK est mal configuré, il ouvre une porte d’entrée vers le réseau interne de l’appareil hôte. Cette architecture permet à un acteur externe d’injecter du trafic dans un réseau protégé sans passer par les contrôles de périmètre habituels.

Analyse des risques pour le réseau exécutif

Les observations montrent que la majorité des sorties se produisent le soir, entre 17 h et minuit, heure de l’Est. Cette concentration horaire suggère une utilisation humaine plutôt qu’un accès Wi‑Fi public automatisé, indiquant qu’un dispositif du réseau de la Maison-Blanche pourrait être infecté par un SDK de proxy. Les recherches antérieures, notamment le rapport A Broken System Fueling Botnets de Synthient, démontrent que des SDK vulnérables permettent le déplacement latéral et l’accès à des systèmes internes, comme le botnet Kimwolf qui a infecté plus de deux millions d’appareils Android via des proxies résidentiels. Si un SDK similaire était présent dans le réseau exécutif, un acteur payant un service de proxy pourrait, en théorie, atteindre des serveurs internes, contourner les firewalls et exfiltrer des données sensibles.

Portée géographique et limites de la détection

Outre la Maison-Blanche, l’observatoire a enregistré des activités résidentielles dans des zones extrêmes : 413 adresses et plus de 32 000 observations à Saint‑Helena (principalement via Starlink), trois observations en Antarctique depuis un point Cloudflare WARP pointant vers la station McMurdo, ainsi que des traces isolées à Pitcairn, Norfolk Island, Svalbard, les Falklands, les îles Chagos, Tokelau et South Georgia. Ces données illustrent la capacité des proxies résidentiels à pénétrer même les réseaux les plus isolés. Cependant, la méthodologie repose sur des listes publiques de détection et sur le trafic volontairement routé via des services de rotation, ce qui signifie que les incidents non exposés ou les adresses non répertoriées restent invisibles. La couverture n’est donc pas exhaustive et dépend de la disponibilité des services de détection tiers.