Шесть IP-адресов из сети Executive Office of the President за 30 дней 236 раз работали как выходы резидентских прокси. Это означает, что клиент такого сервиса мог за несколько долларов отправить запрос в интернет так, будто он исходит из инфраструктуры Белого дома — и это не сюжет для политического триллера, а вполне приземлённая проблема управления корпоративными устройствами.
Активность обнаружила компания Layer3 Intel, сообщает Krebs on Security. По её данным, прокси-узлы из автономной системы AS2650, закреплённой за исполнительным офисом президента США, фиксировались с 5 октября по 3 ноября. Они появлялись 26 дней из 30, преимущественно вечером — между 17:00 и полуночью. Белый дом на запрос журналистов оперативно не ответил.
Речь не о том, что кто-то получил доступ к внутренней сети администрации. Резидентский прокси использует устройство пользователя как промежуточную точку выхода в интернет: сайт видит IP-адрес этого устройства, а не фактический адрес клиента прокси-провайдера. Такой механизм применяют и для легитимных задач вроде проверки региональной доступности сервисов, и для гораздо менее симпатичных: массового скрейпинга, рекламного фрода, захвата аккаунтов и обхода антибот-защиты.
В AS2650 исследователи заметили несколько Windows 11-установок Infatica — сервиса, который часто встраивают в бесплатные мобильные и десктопные приложения. Пользователь устанавливает условно бесплатную утилиту, а разработчик может получать доход за подключение его устройства к прокси-сети. В результате домашний ноутбук, личный смартфон или принесённый в офис компьютер незаметно становится товаром в витрине чужого сервиса.
Infatica — не единственный участник истории. Layer3 Intel утверждает, что через эту же сеть могли выходить клиенты 28 отдельных сервисов резидентских прокси. Исследователи подчёркивают: они не выбирали сеть Белого дома специально. Адреса обнаружились при обычном запросе к глобальным ротирующим пулам прокси. Иными словами, доступ не требовал адресной атаки или инсайда: достаточно зарегистрироваться у публичного поставщика и оплатить трафик.
Отдельно неприятен контекст вокруг Infatica. Основатель компании Владимир Фоменко связан с российским хостинг-провайдером King Servers. Как ранее установили расследователи, шесть из восьми IP-адресов, которые российские спецслужбы использовали при компрометации баз данных избирательных систем Аризоны и Иллинойса в 2016 году, размещались именно там. Сам этот факт не доказывает причастность Infatica к нынешней активности, но для любой службы ИБ он делает вопрос происхождения такого ПО не академическим, а срочным.
Проблема давно вышла за пределы случайно установленного adware. В конце 2025 года исследователи обнаружили массовую эксплуатацию уязвимости в прокси-сервисах: через прокси-эндпоинты злоумышленники могли проверять локальные сети пользователей на уязвимые системы. В январе 2026-го десяткам сервисов пришлось выпускать исправления после того, как основатель Synthient Бен Брандаж показал сценарий захвата устройств во внутренних сетях ничего не подозревающих клиентов.
Экономика здесь играет на стороне атакующих. По словам Брандажа, отдельные реселлеры продают трафик примерно по 60 центов за гигабайт. Значит, менее чем за доллар покупатель получает возможность выглядеть доверенным пользователем сети, к которой у него нет прямого доступа. А многоступенчатая перепродажа облегчает обход процедур KYC: продавец трафика и тот, кто в итоге отправляет запросы, могут находиться на разных уровнях цепочки.
Для российских компаний этот кейс полезно читать не как американскую экзотику, а как напоминание о типовой дыре в контроле конечных точек. В корпоративную сеть регулярно попадают личные устройства, бесплатные утилиты, расширения браузера и SDK, чьё поведение никто не проверял. Особенно уязвимы организации с BYOD, удалёнными сотрудниками и слабым учётом программ: прокси-клиент может не ломать защиту, а честно получить разрешения при установке.
Масштаб виден и за пределами госсектора. В январском вебинаре сервис Spur сообщил, что обнаружил резидентские прокси почти в 300 сетях государственных организаций, у 318 коммунальных компаний, 166 медицинских организаций или больниц и 141 компании финансового сектора. Infoblox ранее писал, что домены, связанные с такими сервисами, запрашивали 65% его клиентов. Это не редкая инфекция, а класс риска, который уже живёт в обычном сетевом трафике.
Практический минимум для ИБ-команд — отслеживать обращения к доменам прокси-платформ, проверять неизвестные приложения и расширения на управляемых устройствах, ограничивать установку ПО без одобрения и разделять гостевые, личные и рабочие сети. Проблема резидентских прокси в том, что они превращают репутацию IP-адреса организации в арендуемый ресурс. Если даже выделенная сеть Белого дома может оказаться в таком пуле, вопрос для бизнеса уже не в том, случится ли это у него, а в том, заметит ли он это раньше клиентов и регуляторов.
