Не менее 143 устройств в 34 странах оказались вовлечены в прокси-джэкинг устройств: злоумышленники взламывали сетевую технику и устанавливали на неё легальное приложение Pawns.app, чтобы зарабатывать на чужом интернет-канале. Для владельца NAS или видеорегистратора это не просто потеря пропускной способности: его IP-адрес может стать точкой выхода для чужого, в том числе подозрительного, трафика.
Кампанию обнаружила компания GreyNoise при расследовании инцидента в неназванной организации, сообщает BleepingComputer. Исследователи зафиксировали как минимум 143 скомпрометированных устройства по всему миру. Оператор кампании не строил собственную прокси-инфраструктуру и не разворачивал классический ботнет: он использовал Pawns.app — сервис, который платит пользователям за предоставление их соединения другим клиентам.
В нормальном сценарии владелец устройства сам решает, участвовать ли в такой схеме. Он запускает приложение, соглашается пропускать через свой IP трафик третьих лиц и получает вознаграждение. В этой кампании согласие оказалось лишней деталью: приложение ставили после взлома, а доход, вероятно, уходил на аккаунты атакующих. Чем больше заражённых систем они подключили, тем выше могла быть сумма выплат.
Какие устройства оказались под ударом
Для первичного доступа атакующие использовали несколько известных уязвимостей в устройствах, смотрящих в интернет. Среди них — CVE-2024-3272 и CVE-2024-3273 в D-Link ShareCenter NAS, CVE-2021-44228 в Ubiquiti UniFi Video NVR и CVE-2025-31324 в SAP NetWeaver Visual Composer. GreyNoise также увидела попытки атак на DVR и NVR от Hikvision и Dahua, но конкретные эксплуатируемые уязвимости в этих устройствах исследователи не назвали.
Набор целей выглядит логично и неприятно одновременно. NAS часто содержит резервные копии и корпоративные файлы, видеорегистраторы нередко годами стоят с настройками «как установили подрядчики», а edge-устройства SAP могут быть доступны извне ради интеграций и удалённого администрирования. Все они редко воспринимаются как полноценные серверы, хотя по факту имеют операционную систему, сетевой стек и набор уязвимостей — то есть всё необходимое для тихого захвата.
В отдельных случаях атакующие дополнительно настраивали аутентификацию по SSH-ключу. Это даёт им запасной вход, если владелец заметит подозрительный процесс и удалит его, но не закроет исходную уязвимость и не проверит конфигурацию доступа. Простая переустановка приложения в таком сценарии не гарантирует очистку: нужно искать добавленные ключи, учётные записи, задания автозапуска и другие следы закрепления.
Почему легальная прокси-сеть не делает инцидент безобидным
Прокси-джэкинг устройств опасен тем, что маскируется под вполне легальную экономику совместного использования канала. Pawns.app не назван источником атаки: злоумышленники злоупотребили его штатной моделью работы. Но владелец скомпрометированного узла всё равно рискует репутацией IP-адреса. Через добровольные и принудительно подключённые прокси могут идти автоматизированные запросы, попытки входа в чужие аккаунты, сканирование сайтов или иной нежелательный трафик. В результате адрес попадает в блок-листы, а разбираться с ограничениями приходится тому, на кого оформлен канал.
Такой риск уже не теоретический. ФБР ранее предупреждало, что прокси-сети могут использоваться для масштабных атак credential stuffing — перебора ранее утекших логинов и паролей на онлайн-платформах. Для бизнеса это означает дополнительные ложные срабатывания антифрода, обращения клиентов из-за блокировок и расследования, в которых внешне подозрительная активность ведёт к вполне обычному офисному или домашнему адресу.
Для российских команд практический вывод довольно приземлённый: инвентаризация интернет-доступных устройств должна включать не только серверы и облачные аккаунты. В неё стоит внести NAS, камеры, NVR/DVR, роутеры, системы управления и забытые тестовые инсталляции. На таких активах нужны актуальные прошивки и патчи, уникальные стойкие пароли, отключение ненужного внешнего доступа и ограничение администрирования по сети. Если SSH необходим, доступ лучше закрыть VPN или allowlist-правилами и регулярно проверять список авторизованных ключей.
GreyNoise предлагает бесплатную проверку IP-адреса на участие в известных легитимных или «серых» прокси-сервисах, хотя для неё требуется учётная запись. Но главная проблема шире одной проверки: любой интернет-доступный appliance без обновлений постепенно становится не «коробкой, которая работает», а дешёвым вычислительным и сетевым ресурсом для чужого бизнеса. В этот раз его монетизировали через прокси; в следующий раз тот же доступ может понадобиться для кражи данных, вымогательства или атаки на соседнюю инфраструктуру.