レジデンシャルプロキシネットワークはセキュリティチームにとって検知が難しいことが多いものの、新たな調査によって企業に深刻なリスクをもたらしかねないことが明らかになりました。
Silent Pushの調査により、帯域幅共有アプリケーションであるPEER2PROFITが、商用プロバイダーのASTROPROXYに対してレジデンシャルプロキシの容量を積極的に供給していることが判明しました。
PEER2PROFITは、デバイスにインストールされたアプリを通じてユーザーの未使用インターネット帯域幅を共有する対価として報酬を支払います。そしてASTROPROXYは、これらの接続へのアクセスを、レジデンシャル、モバイル、データセンタープロキシサービスとして再販しています。
研究者らは、管理下に置いたレジデンシャルデバイスをPEER2PROFITに登録し、その後そのIPアドレスがASTROPROXYのプロキシプール内で検出されることを確認することで、両者の関係性を裏付けました。
この商取引上の差額は無視できないものです。PEER2PROFITはレジデンシャルユーザーに対して1GBあたり約0.28ドルを支払う一方、ASTROPROXYはレジデンシャルプロキシのトラフィックを1GBあたり7.60ドルで販売しているとされています。このビジネスモデルにより、一般家庭や企業のインターネット接続が商用プロキシの出口ノードへと変貌してしまいます。
Silent Pushは72時間にわたる列挙調査の中で、ASTROPROXYのプール全体で117,224件のユニークIPアドレスを観測しました。このうちレジデンシャルプールは60,247件のIPを占め、1時間あたり平均1,071件の新規アドレスが追加されていました。
この急速なローテーションにより、あるIPがある時間帯には無害に見えても、次の時間帯にはプロキシの出口ノードとして機能する可能性があるため、従来のIPレピュテーション対策の効果は薄れてしまいます。
最も深刻な発見は、内部ネットワークリソースへのアクセスが可能だった点です。ASTROPROXYは、ルーターやNASデバイス、その他のローカルシステムで一般的に使用されるプライベートIPレンジへの直接リクエストをブロックしていたとされています。
しかし研究者らは、内部IPアドレスに解決されるドメイン名を利用することで、この制限を回避できることを発見しました。
管理された環境でのテストにおいて、研究チームはASTROPROXY経由で利用可能な、登録済みのPEER2PROFITノードを使って、レジデンシャルルーターの管理インターフェースにアクセスすることに成功しました。
研究者らは、内部リソースがプロキシネットワークを通じてアクセス可能であったことの証拠として、ルーターからPNGファイルをダウンロードしました。
つまり、帯域幅共有クライアントをインストールした人は、自分のパブリックIPアドレス以上のものを露出させてしまう可能性があるということです。
このリスクは、リモートワーカーや企業環境においてより深刻なものとなります。従業員が会社支給のデバイスや、オフィスネットワークに接続された個人デバイスに、正規の帯域幅共有アプリケーションをインストールしてしまうケースが考えられます。
その結果、組織のパブリックアドレスがプロキシの出口ノードと化す一方で、内部リソースが外部のプロキシサービスを通じてアクセス可能になってしまう恐れがあります。
PEER2PROFITはマルウェアには分類されていません。ユーザーの同意のもとにインストールされ、公式チャネルを通じて配布されているため、アンチウイルスの警告や標準的な脅威インテリジェンスの検知をすり抜けやすいという特徴があります。
これによってセキュリティ上の盲点が生まれます。ソフトウェア自体は正規のものであっても、企業ネットワークに重大なリスクをもたらす可能性があるのです。
Detect, investigate, and respond faster with in-browser data inspection from ANY.RUN-> Power your SOC with ANY.RUN
翻訳元: https://cyberpress.org/peer2profit-astroproxy-exposes-resources/
