Пристрої D-Link і Ubiquiti використали для перепродажу чужого інтернет-трафіку

Кампанія з proxyjacking уразила щонайменше 143 пристрої у 34 країнах: зловмисники використовували скомпрометовані системи для монетизації інтернет-з’єднань їхніх власників через комерційну мережу резидентських проксі.

Як повідомляє BleepingComputer, на пристрої без згоди власників встановлювали Pawns.app — легітимний застосунок для обміну пропускною здатністю. Його користувачі можуть отримувати винагороду, дозволяючи іншим людям спрямовувати трафік через їхнє інтернет-з’єднання з довіреною IP-адресою, яку не блокують сервіси.

Вразливі пристрої

Компанія GreyNoise, що займається аналізом кіберзагроз, виявила кампанію під час розслідування підозрілої активності в неназваній організації. За її даними, для проникнення на периферійні пристрої атакувальник використав кілька відомих уразливостей.

• CVE-2024-3272 і CVE-2024-3273 у мережевих сховищах D-Link ShareCenter NAS;
• CVE-2021-44228 у відеореєстраторах Ubiquiti UniFi Video NVR;
• CVE-2025-31324 у SAP NetWeaver Visual Composer.

Дослідники також зафіксували спроби атак на DVR/NVR-пристрої Hikvision і Dahua, але не уточнили, які саме уразливості застосовували в цих випадках. У частині скомпрометованих систем зловмисники налаштували автентифікацію за SSH-ключем як резервний спосіб доступу.

Ризики проксімереж

GreyNoise зазначає, що навіть легальні проксімережі можуть пропускати підозрілий трафік через вузли, якими керують користувачі, якщо контроль є недостатнім. Це може призводити до блокування IP-адрес учасників або до підозр у причетності до незаконної діяльності.

ФБР раніше попереджало, що такі мережі застосовували для масштабних атак credential stuffing проти онлайн-платформ. Для зниження ризику компрометації фахівці радять оновлювати NAS, відеореєстратори та інші доступні з інтернету системи, використовувати надійні облікові дані, безпечні налаштування й обмежувати мережевий доступ.