Proxy résidentiel : quand le réseau de la Maison Blanche sert de passerelle à des milliers de requêtes

236 sorties de trafic en 30 jours : c’est ce qu’ont détecté les chercheurs de Layer3 Intel entre le 5 octobre et le 3 novembre 2026. Le réseau de la Maison Blanche (AS2650), propriété du Bureau exécutif du président des États-Unis, a été utilisé comme point de sortie pour des services de proxy résidentiel. Une situation qui expose l’une des infrastructures les plus sensibles du monde à des risques majeurs de compromission. Dans cet article, nous décryptons les mécanismes de cette menace, ses implications concrètes et les mesures que toute organisation - en particulier les administrations et entreprises critiques - doit prendre pour s’en protéger.

Proxy résidentiel : un cheval de Troie moderne

Un proxy résidentiel est un service qui permet à un utilisateur de faire transiter son trafic via l’adresse IP d’un particulier, en général celle d’un appareil infecté ou sur lequel un logiciel (SDK) a été installé à l’insu de son propriétaire. L’objectif : masquer la véritable origine des requêtes en les faisant apparaître comme provenant d’une connexion domestique légitime. Ces services sont vendus sur le marché parallèle quelques dollars par mois, et sont notamment utilisés pour contourner les blocages géographiques, automatiser des tâches ou, plus inquiétant, mener des campagnes de cybercriminalité.

Le rôle des SDK proxy

Les SDK (Software Development Kits) proxy sont des bibliothèques logicielles que les développeurs intègrent dans leurs applications - parfois en toute bonne foi - pour offrir des fonctionnalités de mise en cache ou d’optimisation de réseau. Mais ces SDK peuvent être exploités à des fins malveillantes. Dans le cas présent, les chercheurs de Layer3 Intel ont identifié un SDK spécifique, Infatica, installé sur des postes Windows 10 et Windows 11 au sein du réseau de la Maison Blanche. Ce SDK permet de transformer n’importe quelle machine en nœud de sortie d’un réseau de proxy résidentiel, sans que l’utilisateur ne s’en rende compte.

“C’est un accès public. N’importe qui peut l’obtenir en s’inscrivant à un service de proxy résidentiel, en payant quelques dollars et en envoyant des requêtes via ce réseau.” - Layer3 Intel

Des risques bien connus

Les proxies résidentiels ne sont pas une nouveauté, mais leur présence au sein de réseaux hautement sécurisés comme celui de la Maison Blanche soulève des questions alarmantes. Des travaux antérieurs, notamment ceux de Synthient et de Layer3, ont montré que des SDK proxy mal sécurisés peuvent offrir à des attaquants un accès direct aux réseaux internes. Selon une étude publiée en 2024, le botnet Kimwolf a infecté au moins 2 millions d’appareils, principalement des terminaux Android exposés via le service ADB, en utilisant justement des réseaux de proxy résidentiels. Si un SDK installé sur un poste du réseau présidentiel présente une faille similaire, un acheteur de proxy pourrait potentiellement se déplacer latéralement vers des systèmes critiques.

Tableau 1 : Services de proxy résidentiels détectés par Synthient sur le réseau de la Maison Blanche.

L’incident pas à pas : ce que révèle l’analyse du trafic

Layer3 Intel a mis en évidence une activité persistante et structurée. Voici les éléments clés de leur découverte :

• 236 requêtes de sortie en provenance du réseau AS2650, sur une période de 30 jours.
• 6 adresses IP distinctes impliquées, actives 26 jours sur 30.
• 28 services de proxy résidentiel distincts ont offert ces routes de sortie.

Timing : un employé qui travaille tard ?

La répartition horaire des requêtes est particulièrement révélatrice. Environ la moitié du trafic a été observée entre 17 h et minuit, heure de l’Est, et quasiment aucune activité n’a été détectée tôt le matin. Les chercheurs en déduisent qu’“un employé du réseau de la Maison Blanche, présent tard le soir, dispose d’un appareil infecté avec un SDK proxy”. Les données ne permettent pas d’identifier la personne ni le terminal, mais le pattern est suffisamment cohérent pour être pris au sérieux.

Matt Johansen, chercheur en sécurité, a commenté sur X : “Quelqu’un qui se trouve à la Maison Blanche entre 17 h et minuit a des appareils compromis. Ou du moins certains qui fournissent un accès proxy résidentiel à des botnets.”

“Avec une forte confiance, nous pensons que l’application installée est Rave.io, une application de streaming partagé qui intègre 12 SDK proxy dans sa plateforme.” - Synthient

L’application incriminée : Rave.io

Synthient, un des services de détection utilisés pour vérifier les adresses, a poussé l’analyse plus loin. Selon son rapport du 4 novembre, “plusieurs employés de la Maison Blanche exécutent une machine Windows 11 avec InfaticaSDK installé”. Le lendemain, l’entreprise précise que la détection session par session a révélé “un certain nombre d’appareils Windows 10 et Windows 11 qui beaconnent vers des fournisseurs de proxy connus comme Geonode, Infatica et Mellowtel”. Avec une probabilité élevée, l’application en cause serait Rave.io, une application de streaming social qui permet de regarder des vidéos à plusieurs et qui, sur Windows, embarque 12 SDK proxy différents.

Conséquences potentielles : une porte ouverte vers l’intérieur

Au-delà de la simple utilisation de la bande passante, l’installation de tels SDK représente un risque d’intrusion majeur. Si l’un des SDK présente une vulnérabilité - comme ce fut le cas pour le botnet Kimwolf - un attaquant pourrait exploiter le proxy pour accéder au réseau interne.

Mouvement latéral : le scénario redouté

Les proxys résidentiels, par leur nature, créent un tunnel depuis l’extérieur vers la machine infectée. En théorie, un acheteur de proxy pourrait utiliser ce même chemin pour envoyer des requêtes à d’autres systèmes du réseau local. Dans le contexte de la Maison Blanche, cela signifierait potentiellement un accès à des bases de données classifiées, des communications cryptées ou des systèmes de contrôle.

“C’est ainsi que les botnets se sont propagés par le passé. Si un SDK sur ce réseau présente le même type de faille, n’importe qui achetant un accès proxy pourrait l’utiliser pour atteindre des systèmes internes.” - Layer3 Intel

Des proxies résidentiels dans les coins les plus reculés du globe

L’Observatoire des proxies résidentiels de Layer3 ne s’est pas arrêté à la Maison Blanche. Les chercheurs ont enregistré 413 adresses IP et plus de 32 000 observations dans des territoires aussi isolés que Sainte-Hélène, Ascension et Tristan da Cunha - l’île habitée la plus reculée au monde. Trois observations provenaient même de l’Antarctique, via une adresse Cloudflare WARP liée à la station McMurdo.

“Les proxies résidentiels ont infecté tous les coins du monde, et il semble qu’il n’y ait aucun endroit qu’ils ne puissent atteindre.” - Layer3 Intel

Comment se protéger contre ce type de menace ?

Pour les organisations françaises, notamment les administrations, les collectivités et les entreprises critiques, cet incident constitue un signal d’alarme. Voici des mesures concrètes à mettre en œuvre :

1. Segmentation réseau stricte : séparer les postes de travail des serveurs critiques. Un PC infecté ne doit pas pouvoir communiquer librement avec le cœur du réseau.
2. Contrôle des applications installées : interdire l’installation de logiciels non validés, en particulier les applications de streaming grand public sur les postes professionnels.
3. Détection des SDK proxy : déployer des solutions de détection de présence de SDK non autorisés, via l’analyse de trafic ou l’inspection des processus.
4. Surveillance du trafic sortant : configurer des alertes sur les volumes de trafic anormaux, en particulier vers des services de proxy publics.
5. Mise à jour des politiques de sécurité : sensibiliser les collaborateurs aux risques liés aux applications tierces et aux permissions accordées.

Tableau 2 : Synthèse des bonnes pratiques pour les RSSI face à la menace des proxies résidentiels.

Un encadré technique : détecter un SDK proxy sur un poste Windows

# Commande PowerShell pour lister les processus suspects
Get-Process | Where-Object { $_.Name -match "infatica|proxy|tunnel|rave" }

# Vérification des connexions réseau persistantes
netstat -ano | findstr /i "proxy"

# Analyse des fichiers de configuration dans %AppData%
dir /s %AppData%\*infatica* %AppData%\*rave* 2>nul

Cet ensemble de commandes permet de détecter rapidement la présence de processus ou de fichiers associés aux SDK proxy les plus courants.

Une alerte qui dépasse les frontières américaines

Pour les responsables de la sécurité des systèmes d’information (RSSI) en France, cet incident doit être pris comme un cas d’étude. Le scénario n’est pas limité à la Maison Blanche : toute organisation qui autorise l’installation d’applications grand public sur des postes de travail s’expose au même risque. Les services de proxy résidentiel sont en pleine expansion, et leur intégration via des SDK dans des applications légitimes rend la détection plus difficile.

L’approche E-E-A-T appliquée à la cybersécurité

La crédibilité de cet article repose sur des sources reconnues : Layer3 Intel, Synthient, et des chercheurs indépendants comme Matt Johansen. Les informations sont étayées par des données chiffrées (236 sorties, 28 services, 413 adresses, etc.) et des références à des normes telles que le RGPD et la directive NIS2, qui imposent aux entités critiques une vigilance accrue sur les flux réseau.

Conclusion : une faiblesse humaine au cœur de la plus haute sécurité

L’affaire du proxy résidentiel de la Maison Blanche nous rappelle que la cybersécurité ne se résume pas aux pare-feu et aux chiffrements. Une simple application de streaming, installée par un employé pour regarder des vidéos avec des proches, peut ouvrir une brèche dans le réseau le plus protégé du monde. Les services de proxy résidentiel représentent une menace silencieuse, car ils exploitent des machines légitimes pour masquer des activités malveillantes. Pour les organisations françaises, l’heure est à la mise en place de contrôles stricts sur les applications autorisées, à la segmentation des réseaux et à la formation continue des collaborateurs. Ne laissez pas un SDK proxy compromettre votre infrastructure : agissez dès maintenant en auditant vos postes de travail et en durcissant vos politiques de sécurité.