Campanie de proxyjacking: dispozitive D-Link, UniFi Video și servere SAP deturnate

Un actor motivat financiar, urmărit sub numele skynox7, a transformat pe ascuns cel puțin 143 de dispozitive din 34 de țări în noduri plătite de proxy rezidențial. Potrivit cercetării publicate de GreyNoise, atacatorul a pătruns în sisteme de stocare, înregistratoare video și servere SAP expuse la internet folosind vulnerabilități cunoscute — unele vechi de ani de zile — apoi le-a înscris într-o rețea comercială de partajare a lățimii de bandă, fără știrea proprietarilor.

Ce s-a întâmplat

GreyNoise a reconstituit operațiunea pe baza unui kit de instrumente al atacatorului, lăsat expus, și a datelor din propriii senzori. Fluxul a fost simplu și industrializat:

• Recunoaștere — date din scanări de internet au fost folosite pentru o listă de aproximativ 118.000 de routere casnice, dispozitive NAS și înregistratoare video.
• Acces inițial — patru vulnerabilități cunoscute, în trei familii de produse:
  • CVE-2024-3272 și CVE-2024-3273 în dispozitivele NAS D-Link ShareCenter (seria DNS)
  • CVE-2021-44228 (Log4Shell) în NVR-urile Ubiquiti UniFi Video
  • CVE-2025-31324 în componenta Metadata Uploader din SAP NetWeaver Visual Composer, care permite încărcarea neautentificată de fișiere executabile
• Instalare — clientul oficial Pawns.app, redenumit gotoschool și configurat să repornească la boot. Scriptul atacatorului accepta Termenii de utilizare Pawns.app în numele victimei.
• Persistență — pe unele sisteme, actorul a adăugat și chei SSH, păstrându-și accesul chiar dacă vulnerabilitatea inițială este remediată ulterior.
• Câștig — dispozitivele deturnate au generat plăți per GB în contul atacatorului (circa 282 GB partajați, pentru aproximativ 57 de dolari, la momentul cercetării).

GreyNoise a observat și tentative asupra altor mărci de DVR/NVR, inclusiv Hikvision și Dahua, dar nu a confirmat compromiteri reușite ale acestor produse. De asemenea, nu există o defalcare pe produse a celor 143 de victime, așa că proprietarii de echipamente Ubiquiti sau D-Link expuse nu ar trebui să presupună că au fost afectați — dar ar trebui să verifice.

De ce contează

Câștigul atacatorului este mic. Riscul, nu.

Proxyjacking înseamnă abuzul de software legitim de partajare a lățimii de bandă pe un dispozitiv care nu îi aparține operatorului. Pawns.app nu este malware în sine — oamenii îl instalează voluntar pentru a-și vinde lățimea de bandă neutilizată — și tocmai de aceea este greu de detectat: aplicația e legitimă, lipsește doar consimțământul.

Odată ce un dispozitiv devine nod de proxy rezidențial, oricine cumpără acea capacitate poate ruta trafic prin adresa ta IP. Traficul arată ca o conexiune obișnuită de acasă sau de birou, deci trece de alertele de autentificare bazate pe geolocație și de verificările de reputație IP. GreyNoise descrie o investigație reală în care mai mulți utilizatori diferiți autentificați de pe același IP de proxy rezidențial au fost primul indiciu al unei intruziuni grave.

Mai e un tipar de reținut: două dintre cele trei familii de produse sunt dispozitive vechi, la marginea rețelei, care primesc rar atenție, iar a treia este un server SAP critic pentru business. Un echipament nepatch-uit la perimetru nu este niciodată „doar” un dispozitiv de stocare.

Ce trebuie făcut

1. Inventariază perimetrul. Identifică fiecare NAS, NVR și instanță SAP NetWeaver accesibilă din internet. Verifică dacă modelele și componentele de mai sus sunt prezente.
2. Actualizează sau scoate din uz. Aplică remedierile sau măsurile de atenuare ale producătorilor. Mai multe modele NAS D-Link afectate au ajuns la sfârșitul ciclului de viață, iar UniFi Video a fost retras — dacă nu există o remediere, scoate dispozitivul de pe internet sau înlocuiește-l.
3. Securizează SAP Visual Composer. Aplică remedierea SAP pentru CVE-2025-31324; dacă nu poți actualiza imediat, blochează sau restricționează accesul la endpoint-ul Metadata Uploader.
4. Redu expunerea. Interfețele de administrare și serviciile vulnerabile nu ar trebui să fie accesibile din internet. Pune-le în spatele unui VPN sau al unei liste de acces.
5. Caută persistența. Verifică fișierele authorized_keys de pe echipamentele bazate pe Linux pentru chei SSH necunoscute și caută procese sau servicii neașteptate (de exemplu unul numit gotoschool) și trafic de proxy către exterior.
6. Tratează IP-urile rezidențiale ca semnal, nu ca garanție. În jurnalele de autentificare, marchează conturile multiple care se autentifică de pe același IP rezidențial și corelează cu ID-ul dispozitivului, identificatorii de sesiune și User-Agent — nu doar cu locația.

Indicatori de compromitere

GreyNoise a publicat și hash-uri SHA-256 ale binarelor Pawns.app folosite. Atenție: aceste hash-uri corespund unei aplicații legitime — o potrivire înseamnă „verifică dacă a fost instalată cu acord”, nu automat „malware”.

Nu știi cum arată perimetrul tău din exterior? O evaluare 4Tify îți cartografiază activele expuse la internet și semnalează exact astfel de dispozitive uitate și neactualizate, înainte ca altcineva să le monetizeze.

Sursa: cercetare originală GreyNoise, relatată de Cyber Security News (16 octombrie 2026).