Не менее 143 устройств в 34 странах оказались втянуты в проксиджекинг устройств — схему, в которой чужой интернет-канал незаметно превращают в товар. Исследователи GreyNoise обнаружили компрометацию оборудования D-Link и Ubiquiti: злоумышленники устанавливали на него клиент Pawns.app и подключали к сети резидентных прокси, а значит, трафик третьих лиц мог выходить в интернет с IP-адресов жертв.
Как пишет Habr / Новости, расследование началось после подозрительной активности в одной из организаций. Для российских компаний это не экзотическая история про «чужие домашние роутеры»: NAS, видеорегистраторы и сетевые устройства с доступом из интернета нередко остаются без обновлений годами, а последствия ложатся на владельца адреса — от деградации канала до блокировок и вопросов со стороны провайдеров или партнёров.
В центре схемы оказался Pawns.app — легитимный сервис, участники которого добровольно предоставляют часть пропускной способности за вознаграждение. Такой клиент сам по себе не является вредоносным ПО. Проблема в способе установки: в зафиксированной кампании владельцы оборудования не давали согласия на использование своего подключения. Для оператора прокси-сети заражённое устройство выглядит как ещё один обычный резидентный узел с «чистым» домашним или корпоративным IP-адресом.
GreyNoise связывает проникновения с эксплуатацией известных уязвимостей. Среди них CVE-2024-3272 и CVE-2024-3273 в сетевых хранилищах D-Link ShareCenter, CVE-2021-44228 в Ubiquiti UniFi Video NVR, а также CVE-2025-31324 в SAP NetWeaver Visual Composer. Исследователи также заметили попытки атак на DVR/NVR Hikvision и Dahua, но не приводят для них подтверждённых идентификаторов уязвимостей. Набор целей важнее списка брендов: атакующие ищут любое периферийное устройство, которое доступно извне, давно не обновлялось и способно стабильно держать соединение.
После доступа злоумышленники не ограничивались запуском приложения. В отдельных случаях они добавляли SSH-ключи, создавая запасной путь в систему. Это превращает инцидент из истории о лишнем трафике в полноценную компрометацию: удаление подозрительного процесса не гарантирует, что доступ закрыт. Владельцу нужно проверять учётные записи, ключи авторизации, задания автозапуска, правила проброса портов и журналы подключений, а не только перезагружать устройство.
Проксиджекинг устройств привлекателен тем, что монетизация начинается сразу. Не нужно шифровать файлы и вести переговоры о выкупе, как в случае с вымогателями; достаточно направить клиентский трафик через скомпрометированную инфраструктуру. При этом риск для владельца IP-адреса вполне реальный. Легальные резидентные прокси используются для тестирования локализованных сервисов, мониторинга доступности и других обычных задач, но слабый контроль способен пропустить скрейпинг, обход ограничений, попытки подбора паролей или иной сомнительный трафик.
ФБР ранее предупреждало, что сети резидентных прокси могут применяться в масштабных атаках credential stuffing — автоматизированных проверках украденных логинов и паролей на разных сервисах. Поэтому команда безопасности не должна списывать аномалии на «шумный» видеорегистратор или NAS. Неожиданные исходящие соединения, расход полосы в нерабочие часы, изменения SSH-конфигурации и незнакомые процессы на сетевой периферии требуют той же реакции, что и признаки взлома сервера.
Практический минимум для компаний и администраторов невелик, но часто откладывается до инцидента: инвентаризировать устройства, доступные из интернета; поставить обновления производителя; убрать ненужный внешний доступ; ограничить администрирование VPN или списком разрешённых адресов; сменить стандартные пароли и проверить SSH-ключи. Для устаревших моделей без патчей разумнее изолировать устройство или заменить его. Особенно это касается NAS и NVR: они часто стоят на границе сети, хранят чувствительные данные и при этом редко попадают в регулярный цикл управления уязвимостями.
Эта кампания показывает неприятную эволюцию атак на периферию: взломанное устройство всё чаще используют не для громкой демонстрации присутствия, а как тихий актив в чужой коммерческой инфраструктуре. Чем ценнее репутация и стабильность корпоративного IP-адреса, тем дороже обходится невнимание к давно известным CVE — и тем сложнее заметить проксиджекинг до первого письма от провайдера или службы безопасности.