Proxyjacking-Kampagne kapert Geräte von D-Link und Ubiquiti

Eine Proxyjacking-Kampagne hat mindestens 143 Geräte in 34 Ländern kompromittiert und die Internetverbindungen der Opfer in Einnahmequellen verwandelt. Der Angreifer installierte ohne Zustimmung der Eigentümer legitime Software zur gemeinsamen Nutzung von Bandbreite und verwendete deren Verbindungen als Residential-Proxy-Knoten.

Sicherheitsforscher von GreyNoise deckten die Operation auf, während sie verdächtige Aktivitäten bei einer nicht genannten Organisation untersuchten. Ihre Erkenntnisse zeigen, wie Angreifer über das Internet erreichbare Geräte ausnutzen können, um mit deren Netzwerkzugang Geld zu verdienen.

Angreifer installierte Software zur Bandbreitenfreigabe ohne Zustimmung

Die Operation nutzte Pawns.app, eine legitime Anwendung, die Kontoinhaber für die Freigabe ihrer Internetverbindungen bezahlt.

Unter normalen Umständen erlauben Nutzer freiwillig, dass Datenverkehr von Drittanbietern durch ihre Netzwerke geleitet wird. Im Gegenzug erhalten sie eine Vergütung für die Bereitstellung geeigneter und erreichbarer IP-Adressen.

Diese Kampagne umging jedoch die erforderliche Zustimmung. Der Angreifer installierte die Anwendung auf kompromittierten Systemen, sodass eine andere Person die finanziellen Vergütungen einstreichen konnte.

Durch die Registrierung mehrerer Geräte konnte der Betreiber diese Auszahlungen potenziell erhöhen. Die veröffentlichten Erkenntnisse belegen allerdings nicht, wie viel Geld die Kampagne tatsächlich einbrachte.

Bekannte Schwachstellen ermöglichten den Zugriff auf Geräte

Laut GreyNoise nutzte der Angreifer mehrere bekannte Schwachstellen aus, um Zugriff zu erhalten und die Software zu installieren.

Zu den betroffenen Produkten und identifizierten Sicherheitslücken gehörten:

• D-Link ShareCenter NAS: CVE-2024-3272 und CVE-2024-3273.
• Ubiquiti UniFi Video NVR: CVE-2021-44228, allgemein bekannt als Log4Shell.
• SAP NetWeaver Visual Composer: CVE-2025-31324.

Die Forscher beobachteten außerdem Aktivitäten, die auf Videoaufzeichnungsgeräte von Hikvision und Dahua abzielten. Sie konnten jedoch nicht feststellen, welche Schwachstellen der Angreifer bei diesen Systemen ausnutzte.

In einigen Fällen richtete der Betreiber zusätzlich eine SSH-Schlüsselauthentifizierung als alternative Zugriffsmethode ein. Dadurch konnte ein weiterer Zugangsweg zu einem kompromittierten Gerät entstehen.

Unerwünschter Proxy-Datenverkehr birgt Risiken für Eigentümer

Die Proxyjacking-Kampagne verbrauchte nicht nur ohne Erlaubnis Bandbreite. Sie ermöglichte außerdem, dass Datenverkehr von Drittanbietern das Netzwerk über die öffentlichen IP-Adressen der Opfer verließ.

Dadurch konnten verdächtige Aktivitäten so erscheinen, als stammten sie vom Eigentümer der Internetverbindung, obwohl sie von einer anderen Person an einem anderen Ort ausgelöst wurden.

Residential-Proxy-Dienste haben legitime Anwendungsbereiche. Unzureichende Kontrollen können es Kunden jedoch auch ermöglichen, missbräuchlichen Datenverkehr über die teilnehmenden Verbindungen zu leiten.

Zu den möglichen Folgen gehören die Sperrung von IP-Adressen und Vorwürfe, die Eigentümer mit Aktivitäten in Verbindung bringen, denen sie nicht zugestimmt haben. Unabhängig davon hat das FBI davor gewarnt, dass Angreifer Residential-Proxys für groß angelegte Credential-Stuffing-Angriffe auf Onlinedienste einsetzen.

Diese allgemeinen Risiken belegen jedoch nicht, welcher Datenverkehr tatsächlich über die in dieser konkreten Operation kompromittierten Geräte geleitet wurde.

Kampagne verdeutlicht die Risiken internetexponierter Geräte

Die Erkenntnisse zeigen, wie bekannte Sicherheitslücken Speichersysteme, Videorekorder und andere vernetzte Geräte in eine unautorisierte Proxy-Infrastruktur verwandeln können.

Der Vorfall unterstreicht daher die Bedeutung von Softwareupdates, starken Zugangsdaten, sicheren Konfigurationen und eingeschränktem Netzwerkzugriff.

GreyNoise bietet außerdem einen Dienst zur Überprüfung von IP-Adressen an, für den ein kostenloses Konto erforderlich ist. Damit können Nutzer prüfen, ob ihre öffentliche IP-Adresse bei einem bekannten legitimen Proxy-Dienst oder einem Proxy-Dienst auf dem Graumarkt auftaucht.

Letztlich war der Missbrauch legitimer Software das entscheidende Merkmal dieser Operation. Der Angreifer stellte die kompromittierten Geräte bereit, während deren Eigentümer unwissentlich die Internetverbindungen zur Verfügung stellten.