安全公司Layer3 Intel：白宮網絡AS2650被觀測到236次住宅代理出口
安全公司Layer3 Intel於2026年11月4日發佈報告稱，其Residential Proxy Observatory在2026年10月5日至11月3日期間，觀測到自家代理枚舉管道通過AS2650網絡出站236次。AS2650註冊於美國總統行政辦公室（Executive Office of the President），是白宮網絡所在的自治系統。
這236次出口來自6個IP地址，覆蓋30天中的26天，涉及28家不同的住宅代理服務商。Layer3 Intel表示，它並非針對該網絡，而是在購買普通“全球輪換”住宅代理服務時偶然發現；公司同時將相關地址與Spur、Synthient等第三方檢測服務交叉覈驗，後者也標記爲住宅代理出口。
公司指出，活動主要集中在東部時間下午5點至午夜，凌晨幾乎沒有。該模式更像有人經常在晚間使用白宮網絡、其設備安裝了代理SDK，而非公共訪客Wi-Fi。Layer3 Intel明確表示，數據只顯示出口，不識別具體設備或人員；任何人付幾美元註冊公開住宅代理服務，即可通過這些節點發送請求。
Synthient稱觀測到多臺Windows設備向Infatica等代理服務商beacon。Infatica創始人爲Vladimir Fomenko，其名下King Servers曾在2016年被關聯到針對亞利桑那州和伊利諾伊州選舉系統的攻擊所用服務器。截至相關報道發佈，白宮未立即回應評論。
原始來源：
標題：Want to Rent an Internet Address at the White House? 發佈者：Brian Krebs / Krebs on Security 發佈日期：2026-11-04 URL：https://krebsonsecurity.com/2026/11/want-to-rent-an-internet-address-at-the-white-house/ 來源性質：媒體報道 覈驗情況：本次讀取全文主要內容（含對Layer3 Intel原報告的直接引用及Synthient相關描述） 支持內容：支持236次出口、6個地址、26/30天、28家服務商、時間模式、公開可租及Infatica/Vladimir Fomenko關聯等核心事實；不證明具體設備身份或已發生內部入侵
ABAB AI 解讀
Vladimir Fomenko在2016年因King Servers的部分IP被用於針對美國州選舉系統的探測而進入公衆視野。當時ThreatConnect和FBI相關通報將其服務器與亞利桑那、伊利諾伊的活動關聯，Fomenko本人接受NBC和《紐約時報》採訪時否認知情，稱客戶匿名租用。十年後，其名下的Infatica以SDK形式嵌入免費應用，把用戶設備變成可出租的住宅代理出口節點。Layer3 Intel創始人Sergiy Usatyuk的團隊通過主動購買輪換代理服務、記錄出口IP的方式建立觀測管道，而非被動監測。
住宅代理的商業模式通常是：代理商嚮應用開發者提供SDK，開發者將其嵌入免費軟件（如觀影、工具類應用）以獲取安裝分成；用戶安裝後，其帶寬被出租給第三方。客戶支付幾美元即可讓自己的流量從被感染設備的真實住宅或企業IP出站。本次觀測到的28家服務商同時能從AS2650出口，說明同一（或少數）設備上可能安裝了多個SDK，或同一設備被多家轉售商接入。資金流是：終端用戶付費給代理服務商 → 服務商向SDK提供方/應用開發者分成 → 設備所有者通常只獲得極少或無直接報酬。
與2016年King Servers事件相比，相同點是Fomenko相關基礎設施再次出現在與美國政府網絡相關的異常流量中；不同點是2016年是服務器被租用作爲攻擊跳板，本次是終端設備被SDK變成出口節點，且由安全公司主動枚舉發現，而非執法機構通報。Spur此前在2026年初的網絡研討會中提到，近300個政府網絡、上百家公用事業和金融機構中也存在住宅代理節點，表明這並非孤立現象。
對白宮網絡而言，這意味着外部人員可以較低成本獲得看起來來自EOP地址空間的出口IP，用於繞過基於地理位置或ASN的信任機制（例如某些服務對美國政府網絡的寬鬆策略）。由於代理SDK若存在漏洞，攻擊者還可能從出口節點反向探測設備所在的內網。目前觀測僅證明出口流量存在，未確認具體應用、未發現數據外泄或橫向移動的證據。關鍵觀察指標是這些地址是否繼續出現在公共代理池中，以及是否有官方確認設備清理情況。
ABAB News · 認知定律
公開可租的住宅代理，能把高敏感網絡的出口IP變成幾美元的商品。
免費應用裏的SDK，把員工個人設備變成可被轉售的企業網絡出口。
枚舉代理出口能發現節點，但無法自動證明誰安裝了軟件或內網是否被訪問。