Исследовательская группа Infrawatch с высокой степенью достоверности установила, что сервис DSLRoot развернул распределенную сеть резидентских прокси через американскую инфраструктуру, используя физическое оборудование, размещенное как минимум в 20 штатах. Сеть управляется оператором, связанным с Восточной Европой, что вызывает озабоченность в контексте размещения прокси-устройств в частных домах США, включая резиденции военнослужащих.
Описание
Поводом для расследования стал инцидент 8 августа 2025 года, когда в публичном форуме появилось сообщение от военнослужащего Киберподразделения ВВС Национальной гвардии Огайо, который неосознанно разместил у себя дома оборудование, контролируемое из-за рубежа. В отличие от типичных прокси-провайдеров, использующих мобильные SDK, DSLRoot применяет выделенные аппаратные решения, обеспечивая постоянный доступ к домашним сетям США. Основными интернет-провайдерами, через которые работает сеть, являются CenturyLink (Lumen) и Frontier.
Технический анализ показал, что DSLRoot использует специализированное программное обеспечение для автоматизированного удаленного управления потребительскими модемами (ARRIS/Motorola, Belkin, D-Link, ASUS) и Android-устройствами через ADB. Это позволяет осуществлять ротацию IP-адресов и контролировать подключения. Сеть функционирует без аутентификации, предоставляя клиентам возможность анонимно маршрутизировать трафик через американские резидентские IP-адреса.
Сервис активно рекламируется на платформе BlackHatWorld, где предлагает физические резидентские ADSL-прокси. Услуга охватывает более 20 штатов США, включая Восточное и Западное побережья, а также Средний Запад. Стоимость доступа составляет 190 долларов в месяц без ограничений по локациям, с возможностью долгосрочной подписки.
Исследователи обнаружили, что инфраструктура DSLRoot прошла несколько этапов развития. С 2012 по 2022 год сервис размещался на платформе Ecatel (известной как «пуленепробиваемый хостинг»), а затем мигрировал на мощности Hivelocity (AS40244). Анализ также выявил связанные сервисы, включая выпуск виртуальных кредитных карт и услуги по регистрации компаний, ориентированные на англо- и русскоязычную аудиторию.
Клиентское программное обеспечение DSLRoot, разработанное на Delphi, создается индивидуально для каждого пользователя и включает идентификатор учетной записи. ПО запускает локальный SOCKS5-сервер на 127.0.0.1:3129, который перенаправляет трафик через выбранный публичный прокси-IP. Для браузеров Chromium применяются специфические флаги командной строки, отключающие DNS-over-HTTPS и другие функции, чтобы предотвратить утечки реального местоположения пользователя.
Аппаратная часть сети состоит из модифицированных модемов и компьютеров, которые перезагружают оборудование для принудительной смены IP-адресов через механизмы DHCP. DSLRoot использует уязвимости и стандартные учетные данные производителей для удаленного управления устройствами. Поддержка Android через ADB позволяет контролировать мобильные подключения, что согласуется с предложениями 4G-прокси на сайте сервиса.
Эксперты отмечают, что подобные сети могут представлять операционные риски, поскольку позволяют злоумышленникам маскировать источник атаки или доступа под доверенными резидентскими IP-адресами. Размещение оборудования в домах военнослужащих добавляет дополнительный контекст к потенциальным угрозам национальной безопасности.
Индикаторы компрометации
