Rizici rezidencijalnih proksi mreža u korporativnim i državnim sistemima

Mehanizam rada rezidencijalnih proksi mreža

Rezidencijalni proksi servisi funkcionišu tako što iznajmljuju IP adrese običnih korisnika trećim licima koja žele da sakriju svoj pravi identitet ili lokaciju. Kada korisnik instalira aplikaciju koja u sebi sadrži ovakav servis, njegov uređaj postaje čvor u globalnoj mreži. Kroz taj čvor, saobraćaj drugih korisnika izlazi na internet, čineći da deluje kao da dolazi iz privatnog domaćinstva, a ne iz data centra.

Ovakve mreže često koriste SDK pakete integrisane u besplatne mobilne ili desktop aplikacije. Programeri na ovaj način monetizuju svoje proizvode, primajući naknadu za svaki uređaj koji postane deo proksi mreže. Iako ovo deluje kao legitiman poslovni model za razvoj aplikacija, problem nastaje kada se takav softver nađe na uređajima koji su povezani na osetljive poslovne ili državne mreže.

Kada uređaj unutar zaštićene mreže postane proksi čvor, on otvara vrata za spoljni saobraćaj koji može zaobići standardne sigurnosne protokole. Spoljni korisnici, plaćajući minimalne iznose za pristup ovim mrežama, dobijaju mogućnost da usmeravaju svoje zahteve kroz mreže koje se smatraju visokopoverljivim, čime se briše granica između javnog i privatnog internet prostora.

Incidenti u osetljivim mrežama

Nedavna detekcija aktivnosti unutar mreže AS2650, koja je rezervisana za Izvršnu kancelariju predsednika SAD, ilustruje razmere ovog problema. Sigurnosne firme su identifikovale višestruke proksi čvorove koji su slali signale iz Bele kuće, omogućavajući da se saobraćaj iz te mreže koristi za maskiranje aktivnosti trećih strana. Analize su pokazale da su ovi čvorovi bili aktivni u večernjim satima, što ukazuje na to da su uređaji zaposlenih verovatno bili povezani na mrežu u tom periodu.

Posebnu pažnju privlači činjenica da su u ove aktivnosti bile uključene usluge povezane sa kompanijama koje imaju istoriju sumnjivih operacija. Jedan od servisa identifikovanih u ovom slučaju povezan je sa Vladimirom Fomenkom, čija je hosting firma ranije dovođena u vezu sa sajber napadima na izborne sisteme. Prisustvo ovakvih servisa u srcu državne administracije ukazuje na nedostatak kontrole nad softverom koji se instalira na službene uređaje.

Istraživanje je otkrilo da nije reč o izolovanom slučaju jednog servisa, već o sistemskom problemu. Identifikovano je čak 28 različitih proksi servisa koji su mogli da koriste mrežu Bele kuće kao izlaznu tačku. Ovo potvrđuje da svako ko plati pristup javnoj rezidencijalnoj proksi mreži može, sasvim slučajno, usmeriti svoj saobraćaj kroz najzaštićenije institucije na svetu.

Ekonomska strana i anonimnost napadača

Tržište rezidencijalnih proksija je izuzetno dostupno i jeftino, što ga čini idealnim alatom za sajber kriminalce. Cene se često kreću ispod jednog dolara po gigabajtu, a procesi provere identiteta korisnika, poznati kao KYC (Know Your Customer), često izostaju. Ovakva niska barijera za ulazak omogućava napadačima da anonimno izvode masovne napade, preuzimanja naloga ili prevare u oglašavanju.

Pored kriminalnih aktivnosti, ove mreže se koriste i za masovno prikupljanje podataka za potrebe treniranja AI modela. Kada se veliki broj zahteva šalje kroz rezidencijalne IP adrese, sistemi za zaštitu od botova teže ih prepoznaju kao zlonamerne, jer saobraćaj deluje kao da dolazi od stvarnih ljudi iz njihovih domova. To otežava posao administratorima koji pokušavaju da zaštite svoje resurse od neovlašćenog skrapovanja podataka.

Ekosistem preprodavaca dodatno komplikuje situaciju, jer omogućava anonimnim akterima da kupe pristup mrežama bez ikakvog traga o njihovom stvarnom identitetu. Kada se takav pristup kombinuje sa ranjivostima u samim proksi servisima, napadači dobijaju mogućnost ne samo da maskiraju svoj saobraćaj, već i da direktno pristupe lokalnim mrežama na kojima se nalaze zaraženi uređaji.

Sajber bezbednost i sistemske ranjivosti

Rezidencijalni proksi servisi ne predstavljaju samo rizik od zloupotrebe IP adrese, već i direktnu pretnju po bezbednost lokalne mreže. U prošlosti su otkrivene ranjivosti koje su omogućavale napadačima da kroz proksi čvor skeniraju lokalnu mrežu žrtve u potrazi za ranjivim sistemima. Na taj način, uređaj koji je postao proksi čvor postaje ulazna tačka za širenje malvera unutar korporativne ili državne infrastrukture.

Sigurnosni stručnjaci su u više navrata upozoravali na potrebu za hitnim zakrpama u ovim servisima, jer su kriminalci aktivno koristili propuste kako bi preuzeli kontrolu nad uređajima korisnika. Problem je što mnogi korisnici, uključujući i zaposlene u velikim kompanijama, nisu ni svesni da su njihovi uređaji deo ovakve mreže. Softver se često instalira kao deo naizgled korisnih aplikacija, dok SDK moduli rade u pozadini bez znanja vlasnika uređaja.

Ovaj rizik je posebno izražen u sektorima kao što su bankarstvo, zdravstvo i energetika. Podaci ukazuju na to da se rezidencijalni proksi servisi nalaze u stotinama mreža koje pripadaju komunalnim preduzećima, bolnicama i finansijskim institucijama. Ovakva rasprostranjenost ukazuje na to da organizacije često nemaju adekvatan uvid u to kakav se softver koristi na njihovim mrežama.

Izazovi za korporativnu politiku

Zaštita od ovakvih pretnji zahteva strožu kontrolu nad instalacijom softvera i upravljanje mrežnim saobraćajem. Kompanije moraju da implementiraju politike koje zabranjuju korišćenje aplikacija sa neproverenim SDK modulima, posebno onih koje zahtevaju pristup internetu bez jasne poslovne potrebe. Takođe, mrežni administratori treba da prate odlazni saobraćaj i blokiraju domene koji su povezani sa poznatim rezidencijalnim proksi mrežama.

Svest o ovom problemu mora biti podignuta na viši nivo, jer se mnogi zaposleni vode logikom da besplatne aplikacije ne nose rizik. Neophodno je edukovati zaposlene o tome kako funkcioniše monetizacija besplatnog softvera i zašto je opasno instalirati aplikacije nepoznatog porekla na službene uređaje. Jedna naizgled bezazlena aplikacija za vremensku prognozu ili optimizaciju baterije može postati rizičan prozor u poverljive korporativne podatke.

Infoblox i druge sigurnosne firme izveštavaju da veliki procenat njihovih klijenata već komunicira sa domenima povezanim sa proksi servisima. Ovo sugeriše da je problem već postao endemski i da zahteva proaktivno delovanje. Organizacije koje ne preduzmu korake ka izolaciji svojih mreža od ovakvih servisa ostavljaju otvorena vrata za potencijalne napade koji mogu imati ozbiljne posledice po njihovo poslovanje.

Zaključak i preporuke

Slučaj sa mrežom Bele kuće služi kao podsetnik da nijedna organizacija nije imuna na rizike koje donosi savremeni digitalni ekosistem. Rezidencijalni proksi servisi su postali nevidljiva infrastruktura za sajber kriminal, a njihovo prisustvo u zaštićenim mrežama je posledica zanemarivanja digitalne higijene. Razumevanje kako ovi servisi funkcionišu prvi je korak ka njihovom suzbijanju.

Za lidere u biznisu i IT sektoru, poruka je jasna: vidljivost je ključna. Neophodno je redovno auditirati mrežni saobraćaj i primenjivati striktne politike upravljanja uređajima. U svetu gde se pristup poverljivim mrežama može kupiti za manje od jednog dolara, sigurnost više nije samo pitanje zaštite perimetra, već i pitanje kontrole svakog pojedinačnog uređaja koji se povezuje na mrežu.

Budućnost zahteva oprezniji pristup prema svim besplatnim digitalnim uslugama koje zahtevaju pristup mrežnim resursima. Kompanije koje ne budu ulagale u detekciju i prevenciju ovakvih proksi aktivnosti rizikuju da njihova infrastruktura bude zloupotrebljena za napade na druge, ili još gore, da postane meta napada iznutra. Bezbednost počinje od svesti da svaki uređaj može biti iskorišćen protiv svog vlasnika.

Izvor: Brian Krebs, Krebs on Security · Fotografija: Pexels / Freepik (ilustracija)