Proxyjacking-kampagne kaprer enheder fra D-Link og Ubiquiti

En proxyjacking-kampagne har kompromitteret mindst 143 enheder i 34 lande og forvandlet ofrenes internetforbindelser til indtægtskilder. Angriberen installerede legitim software til deling af båndbredde uden ejernes tilladelse og brugte deres forbindelser som residential proxy-noder.

Sikkerhedsforskere hos GreyNoise afdækkede operationen, mens de undersøgte mistænkelig aktivitet hos en unavngiven organisation. Deres resultater viser, hvordan angribere kan udnytte interneteksponeret udstyr til at tjene penge på dets netværksadgang.

Angriberen installerede software til deling af båndbredde uden samtykke

Operationen benyttede Pawns.app, en legitim applikation, der betaler kontoindehavere for at dele deres internetforbindelser.

Under normale omstændigheder tillader brugere frivilligt, at trafik fra tredjeparter passerer gennem deres netværk. Til gengæld modtager de betaling for at stille egnede og tilgængelige IP-adresser til rådighed.

Denne kampagne omgik dog kravet om samtykke. Angriberen installerede applikationen på kompromitterede systemer, hvilket gjorde det muligt for en anden person at modtage den økonomiske kompensation.

Ved at tilmelde flere enheder kunne operatøren potentielt øge disse udbetalinger. De rapporterede resultater fastslår dog ikke, hvor mange penge kampagnen genererede.

Kendte sårbarheder gav adgang til enheder

Ifølge GreyNoise udnyttede angriberen flere kendte sårbarheder til at få adgang og installere softwaren.

De berørte produkter og identificerede sårbarheder omfattede:

• D-Link ShareCenter NAS: CVE-2024-3272 og CVE-2024-3273.
• Ubiquiti UniFi Video NVR: CVE-2021-44228, almindeligvis kendt som Log4Shell.
• SAP NetWeaver Visual Composer: CVE-2025-31324.

Forskerne observerede også aktivitet rettet mod videooptagelsesenheder fra Hikvision og Dahua. De identificerede dog ikke, hvilke sårbarheder angriberen udnyttede mod disse systemer.

I nogle tilfælde konfigurerede operatøren desuden SSH-nøglegodkendelse som en alternativ adgangsmetode. Dette kunne give endnu en vej ind i en kompromitteret enhed.

Uønsket proxytrafik skaber risici for ejerne

Proxyjacking-kampagnen gjorde mere end blot at forbruge båndbredde uden tilladelse. Den gjorde det også muligt for trafik fra tredjeparter at forlade netværket gennem ofrenes offentlige IP-adresser.

Dermed kunne mistænkelig aktivitet se ud til at stamme fra internetforbindelsens ejer, selv når en anden person havde startet den et andet sted.

Residential proxy-tjenester har legitime anvendelsesmuligheder. Utilstrækkelig kontrol kan dog også gøre det muligt for kunder at sende skadelig trafik gennem de tilknyttede forbindelser.

Mulige konsekvenser omfatter blokering af IP-adresser og beskyldninger, der forbinder ejere med aktiviteter, de ikke har godkendt. Separat har FBI advaret om, at angribere bruger residential proxies til omfattende credential stuffing-angreb mod onlinetjenester.

Disse bredere risici fastslår dog ikke, hvilken trafik der passerede gennem de enheder, som blev kompromitteret i denne konkrete operation.

Kampagnen fremhæver risikoen ved interneteksponeret udstyr

Resultaterne illustrerer, hvordan kendte sikkerhedssvagheder kan forvandle lagringssystemer, videooptagere og andet tilsluttet udstyr til uautoriseret proxyinfrastruktur.

Hændelsen understreger derfor vigtigheden af softwareopdateringer, stærke loginoplysninger, sikre konfigurationer og begrænset netværksadgang.

GreyNoise tilbyder også en tjeneste til kontrol af IP-adresser, som kræver en gratis konto. Den giver brugere mulighed for at undersøge, om deres offentlige IP-adresse optræder i en kendt legitim proxytjeneste eller en proxytjeneste på gråmarkedet.

I sidste ende var det misbruget af legitim software, der kendetegnede operationen. Angriberen stillede de kompromitterede enheder til rådighed, mens deres ejere uvidende leverede internetforbindelserne.