En proxyjacking-kampanje har kompromittert minst 143 enheter i 34 land og gjort ofrenes internettforbindelser til inntektskilder. Angriperen installerte legitim programvare for deling av båndbredde uten eiernes tillatelse og brukte forbindelsene deres som boligproxy-noder.
Sikkerhetsforskere hos GreyNoise avdekket operasjonen mens de undersøkte mistenkelig aktivitet hos en ikke navngitt organisasjon. Funnene deres viser hvordan angripere kan utnytte internetteksponert utstyr for å tjene penger på nettverkstilgangen.
Angriperen installerte programvare for deling av båndbredde uten samtykke
Operasjonen brukte Pawns.app, en legitim applikasjon som betaler kontoinnehavere for å dele internettforbindelsene sine.
Under normale omstendigheter tillater brukere frivillig at trafikk fra tredjeparter passerer gjennom nettverkene deres. Til gjengjeld mottar de betaling for å tilby egnede og tilgjengelige IP-adresser.
Denne kampanjen omgåtte imidlertid kravet om samtykke. Angriperen installerte applikasjonen på kompromitterte systemer, slik at en annen person kunne motta den økonomiske kompensasjonen.
Ved å registrere flere enheter kunne operatøren potensielt øke disse utbetalingene. De rapporterte funnene fastslår imidlertid ikke hvor mye penger kampanjen genererte.
Kjente sårbarheter ga tilgang til enheter
Ifølge GreyNoise utnyttet angriperen flere kjente sårbarheter for å få tilgang og installere programvaren.
De berørte produktene og identifiserte sårbarhetene omfattet:
- D-Link ShareCenter NAS: CVE-2024-3272 og CVE-2024-3273.
- Ubiquiti UniFi Video NVR: CVE-2021-44228, vanligvis kjent som Log4Shell.
- SAP NetWeaver Visual Composer: CVE-2025-31324.
Forskerne observerte også aktivitet rettet mot videoopptaksenheter fra Hikvision og Dahua. De identifiserte imidlertid ikke hvilke sårbarheter angriperen utnyttet mot disse systemene.
I enkelte tilfeller konfigurerte operatøren i tillegg SSH-nøkkelautentisering som en alternativ tilgangsmetode. Dette kunne gi en annen vei inn i en kompromittert enhet.
Uønsket proxytrafikk skaper risiko for eierne
Proxyjacking-kampanjen gjorde mer enn å bruke båndbredde uten tillatelse. Den gjorde det også mulig for trafikk fra tredjeparter å forlate nettverket gjennom ofrenes offentlige IP-adresser.
Dermed kunne mistenkelig aktivitet se ut til å stamme fra eieren av internettforbindelsen, selv når noen andre hadde startet den fra et annet sted.
Boligproxytjenester har legitime bruksområder. Mangelfull kontroll kan imidlertid også gjøre det mulig for kunder å sende skadelig trafikk gjennom tilknyttede forbindelser.
Mulige konsekvenser inkluderer blokkering av IP-adresser og anklager som knytter eiere til aktivitet de ikke har godkjent. Separat har FBI advart om at angripere bruker boligproxyer til omfattende credential stuffing-angrep mot nettjenester.
Disse generelle risikoene fastslår imidlertid ikke hvilken trafikk som passerte gjennom enhetene som ble kompromittert i denne konkrete operasjonen.
Kampanjen viser risikoen ved internetteksponert utstyr
Funnene illustrerer hvordan kjente sikkerhetssvakheter kan gjøre lagringssystemer, videoopptakere og annet tilkoblet utstyr til uautorisert proxyinfrastruktur.
Hendelsen understreker derfor viktigheten av programvareoppdateringer, sterke påloggingsopplysninger, sikre konfigurasjoner og begrenset nettverkstilgang.
GreyNoise tilbyr også en tjeneste for kontroll av IP-adresser som krever en gratis konto. Den lar brukere undersøke om deres offentlige IP-adresse finnes i en kjent legitim proxytjeneste eller en proxytjeneste i gråmarkedet.
Til syvende og sist var det misbruken av legitim programvare som kjennetegnet operasjonen. Angriperen skaffet de kompromitterte enhetene, mens eierne deres uvitende stilte internettforbindelsene til disposisjon.
0 responses to “Proxyjacking-kampanje kaprer enheter fra D-Link og Ubiquiti”