Qualquer um pode alugar um endereço IP da Casa Branca por alguns dólares
Na quarta-feira, a empresa de segurança Layer3 informou que encontrou serviços de proxy residenciais roteando o tráfego através de endereços IP atribuídos à rede da Casa Branca, sugerindo que os dispositivos conectados a essa rede estão executando software que permite que suas conexões de Internet sejam alugadas a estranhos, potencialmente através de aplicativos gratuitos instalados em computadores ou telefones.
Os serviços de proxy residencial vendem acesso a telefones e computadores usados por pessoas normais, de modo que o tráfego de um cliente parece vir dos endereços de Internet desses dispositivos. Os cibercriminosos muitas vezes compram esse acesso para que sua atividade pareça tráfego doméstico ou de escritório comum, e os endereços da Casa Branca encontrados pela Layer3 são do mesmo tipo vendido em serviços públicos de proxy residencial que qualquer pessoa pode comprar. Na verdade, a Layer3 disse ter visto esses endereços de saída em 28 serviços separados.
O fundador da Synthient, Ben Brundage, disse a Krebs on Security que alguns revendedores “vendem largura de banda por apenas 60 centavos por Gigabyte, o que significa que por menos de um dólar você pode obter acesso a algumas das redes mais confidenciais e confiáveis”. Ele acrescentou que “o ecossistema de revendedores permite isso ainda mais, com qualquer criminoso capaz de comprar acesso enquanto ignora os processos KYC (Conheça seu Cliente)”.
Saídas de rede da Casa Branca apareceram em pools de proxy públicos
A Layer3 disse que seu Observatório de Proxy Residencial notou tráfego de saída no AS2650, o sistema autônomo registrado no Gabinete Executivo do Presidente, que hospeda a rede da Casa Branca. Entre 5 de outubro e 3 de novembro, o pipeline de monitoramento da Layer3 passou por essa rede 236 vezes, usando seis endereços IP diferentes em 26 desses 30 dias. A empresa disse que não tinha como alvo a Casa Branca. Em vez disso, capturou as saídas solicitando acesso rotativo global de provedores públicos e posteriormente cruzou os endereços com Spur e Synthient, que os sinalizam de forma independente como saídas de proxy residenciais.
“Este é o acesso público. Qualquer pessoa pode obtê-lo inscrevendo-se em um serviço público de proxy residencial, pagando alguns dólares e enviando solicitações por meio dele”, escreveu Layer3. Cerca de metade das observações ocorreu entre 17h e meia-noite, horário do leste, com quase nenhuma no início da manhã, um padrão que Layer3 lê como alguém regularmente na rede à noite com um dispositivo executando um kit de desenvolvimento de software proxy (SDK). “Nossos dados mostram as saídas, não o dispositivo ou a pessoa por trás delas”, acrescentou a empresa.
Para ser claro, os pesquisadores não disseram que se tratava de um malware plantado para espionar a Casa Branca. Os desenvolvedores de aplicativos geralmente incorporam SDKs de proxy residencial para monetizar aplicativos gratuitos, ganhando uma pequena taxa por instalação enquanto a largura de banda do dispositivo é alugada. Essas instalações de aplicativos gratuitos podem então ser transmitidas a partir dos dispositivos dos funcionários trazidos para o local de trabalho.
🧵 1/N
Com grande confiança, acreditamos que o aplicativo instalado seja Rave(.)io, um aplicativo de streaming compartilhado que agrupa 12 SDKs de proxy na plataforma. https://t.co/PKhesNr8xu pic.twitter.com/VdTUaLuWB0– Synthient (@synthient) 5 de novembro de 2026
A Synthient inicialmente vinculou a atividade de rede da Casa Branca a máquinas Windows executando o InfaticaSDK, um programa proxy frequentemente integrado a aplicativos móveis e de desktop gratuitos. O rastreador de proxy agora afirma acreditar com grande confiança que o aplicativo instalado é o Rave, um aplicativo de streaming compartilhado que agrupa vários SDKs de proxy. A Synthient disse que detectou dispositivos Windows 10 e Windows 11 se comunicando com Geonode, Infatica e Mellowtel, e que uma pesquisa do VirusTotal por aplicativos do Windows contendo todos os três SDKs identificou apenas Rave.
Vale a pena considerar o que um SDK de proxy mal protegido pode fazer além de alugar um endereço IP confiável. Krebs observou que, no final de 2025, os criminosos exploraram em massa falhas generalizadas nesses tipos de serviços que lhes permitiram sondar a rede local de cada endpoint de proxy em busca de sistemas para infectar. Em janeiro, muitos serviços de proxy tiveram que ser corrigidos depois que Brundage mostrou como essas falhas poderiam ser aproveitadas para assumir o controle de dispositivos dentro das redes locais dos usuários. Se um SDK proxy em uma rede sensível, como a da Casa Branca, tivesse uma falha semelhante, poderia permitir que os clientes acessassem outros sistemas na rede local, desde que esses sistemas não estivessem isolados ou protegidos.
Outros pesadelos de proxy residencial
No início desta semana, o Threat Intelligence Group do Google disse que desmantelou o backdoor XCPE, que inscreveu mais de 1,3 milhão de decodificadores, principalmente dispositivos Android TV, em uma botnet que o Google avalia com alta confiança foi desenvolvida e operada intencionalmente para ganho financeiro pelo fabricante de hardware Android Videostrong Technology Co. “Acreditamos que esta campanha não foi um insider isolado e desonesto ou um descuido de desenvolvimento”, escreveu o Google.
No mês passado, os pesquisadores também observaram invasores explorando uma vulnerabilidade no Plex Media Server para implantar software proxy residencial. Depois que a cadeia de execução remota de código Plex2Shell se tornou pública, um operador executando um servidor deliberadamente vulnerável como um honeypot viu os invasores instalarem um minerador de criptomoeda e um software de proxy residencial myawesomeproxy.
As operadoras estatais também aproveitam o que as redes proxy residenciais podem ocultar. Por exemplo, os agentes de espionagem russos teriam encaminhado o tráfego através das redes domésticas dos americanos para mascarar operações cibernéticas. A Coreia do Norte levou essa estratégia mais longe com proxies humanos e quintas de computadores portáteis que permitem que trabalhadores norte-coreanos de TI utilizem máquinas dos EUA, um esquema que recentemente levou a incursões do FBI em mais de 40 casas no Texas e a acusações contra americanos acusados de ajudar a administrá-lo.
