Mercredi, la société de sécurité Layer3 a signalé avoir identifié des services de proxy résidentiel faisant acheminer le trafic via des adresses IP attribuées au réseau de la Maison-Blanche, ce qui suggère que des appareils connectés à ce réseau exécutent un logiciel permettant de louer leurs connections Internet à des inconnus, potentiellement via des applications gratuites installées sur des ordinateurs ou des téléphones.
Les services de proxy résidentiel vendent l’accès à des téléphones et des ordinateurs utilisés par des personnes ordinaires afin que le trafic client semble provenir des adresses Internet de ces appareils. Les cybercriminels achètent souvent cet accès afin que leurs activités ressemblent à du trafic domestique ou de bureau normal, et les adresses associées à la Maison-Blanche que Layer3 a identifiées appartiennent au même type que celui vendu sur les services publics de proxy résidentiel que n’importe qui peut acheter. En fait, Layer3 a vu ces adresses de sortie sur 28 services distincts.
Le fondateur de Synthient, Ben Brundage, a déclaré à Krebs on Security que certains revendeurs « vendent de la bande passante pour aussi peu que 60 cents le gigaoctet ; cela signifie que pour moins d’un dollar, on peut accéder à certains des réseaux les plus confidentiels et les plus fiables ». Il a ajouté que « l’écosystème des revendeurs facilite davantage cela, tout criminel capable d’acheter l’accès tout en évitant les procédures KYC [Know Your Customer] ».
White House Network Exits Showed Up in Public Proxy Pools
Layer3 a indiqué que son Observatoire des proxies résidentiels a remarqué du trafic de sortie sur AS2650, le système autonome enregistré au Bureau exécutif du Président, qui héberge le réseau de la Maison-Blanche. Entre le 5 octobre et le 3 novembre, le pipeline de surveillance a quitté ce réseau à 236 reprises, en utilisant six adresses IP sur 26 des 30 jours. L’entreprise a précisé qu’elle ne visait pas la Maison-Blanche. Au contraire, elle a intercepté ces sorties en demandant un accès rotatif mondial auprès de fournisseurs publics et en vérifiant ensuite les adresses avec Spur et Synthient, qui les signalent comme des sorties de proxy résidentiel.
« Il s’agit d’un accès public. N’importe qui peut l’obtenir en s’inscrivant à un service public de proxy résidentiel, en payant quelques dollars et en lançant les requêtes via ce service », a écrit Layer3. Environ la moitié des observations se situaient entre 17 h et minuit, heure de la côte est, avec presque aucune sortie en fin de nuit—un motif que Layer3 interprète comme une utilisation régulière du réseau en soirée, avec un appareil exécutant un kit de développement logiciel (SDK) de proxy. « Nos données montrent les sorties, pas l’appareil ni la personne derrière elles », a ajouté l’entreprise.
Pour être clair, les chercheurs n’ont pas dit qu’il s’agissait d’un logiciel malveillant implanté pour espionner la Maison-Blanche. Les développeurs d’applications intègrent souvent des SDK de proxy résidentiel afin de monétiser des applications gratuites, recevant une petite rémunération par installation pendant que la bande passante de l’appareil est mise à disposition pour location. Ces installations d’applications gratuites peuvent ensuite émettre des balises depuis des appareils d’employés amenés sur le lieu de travail.
🧵 1/N
With high confidence we believe the installed app to be Rave[.]io a shared streaming app that bundles 12 proxy SDKs into the platform. https://t.co/PKhesNr8xu pic.twitter.com/VdTUaLuWB0— Synthient (@synthient) November 5, 2026
Synthient avait initialement lié l’activité du réseau de la Maison-Blanche à des machines Windows exécutant InfaticaSDK, un programme proxy souvent intégré dans des applications mobiles et de bureau gratuites. Le traqueur proxy indique désormais avec une grande confiance que l’application installée est Rave, une application de diffusion partagée qui regroupe de nombreux SDK proxy. Synthient a déclaré avoir détecté des appareils Windows 10 et Windows 11 communiquant avec Geonode, Infatica et Mellowtel, et qu’une recherche sur VirusTotal des applications Windows contenant les trois SDK n’a identifié que Rave.
Il convient de réfléchir à ce que peut faire un SDK proxy mal protégé au-delà de louer une adresse IP de confiance. Krebs a noté qu’à la fin de l’année 2025, des criminels avaient massivement exploité des failles répandues dans ce type de services qui leur permettaient d’examiner le réseau local de chaque point proxy à la recherche de systèmes à infecter. En janvier, de nombreux services proxy ont dû corriger ces vulnérabilités après que Brundage eut démontré comment ces failles pouvaient être abusées pour prendre le contrôle d’appareils au sein des réseaux locaux des utilisateurs. Si un SDK proxy installé sur un réseau sensible, tel que celui de la Maison-Blanche, présentait une faille similaire, il pourrait potentiellement permettre à des clients d’atteindre d’autres systèmes du réseau local, à condition que ces systèmes ne soient pas isolés ou protégés autrement.
Other Residential Proxy Nightmares
Plus tôt cette semaine, le Threat Intelligence Group de Google a annoncé avoir démantelé la porte dérobée XCPE, qui avait enrôlé plus de 1,3 million de décodeurs, majoritairement des appareils Android TV, dans un botnet que Google estime avec une forte confiance avoir été délibérément développé et exploité à des fins financières par le fabricant de matériel Android Videostrong Technology Co. Des modules avaient silencieusement enrôlé des boîtiers infectés dans des réseaux de proxy résidentiel, entre autres abus. « Nous pensons que cette campagne n’était pas l’œuvre d’un seul initié dévoyé ni d’un oubli de développement », a écrit Google.
Le mois dernier, des chercheurs ont également observé des attaquants profitant d’une vulnérabilité dans Plex Media Server pour déployer des logiciels proxy résidentiels. Après que la chaîne d’exécution de code à distance Plex2Shell soit devenue publique, un opérateur gérant un serveur volontairement vulnérable en tant que leurre a vu des attaquants installer un mineur de cryptomonnaie et le logiciel proxy résidentiel myawesomeproxy.
Des opérateurs étatiques tirent aussi parti de ce que les réseaux de proxy résidentiels peuvent dissimuler. Par exemple, des acteurs du renseignement russes auraient acheminé du trafic via des réseaux domestiques américains pour masquer des opérations cybernétiques. La Corée du Nord a poussé cette stratégie plus loin avec des proxies humains et des fermes d’ordinateurs portables permettant à des travailleurs informatiques nord-coréens d’utiliser des machines américaines, une stratégie qui a récemment conduit le FBI à effectuer des perquisitions dans plus de 40 foyers au Texas et à engager des charges contre des Américains accusés d’aider à la gestion du réseau.
