Proxyjacking-kampanj kapar enheter från D-Link och Ubiquiti

En proxyjacking-kampanj har komprometterat minst 143 enheter i 34 länder och förvandlat offrens internetanslutningar till inkomstkällor. Angriparen installerade legitim programvara för delning av bandbredd utan ägarnas tillstånd och använde deras anslutningar som residential proxy-noder.

Säkerhetsforskare på GreyNoise upptäckte operationen när de undersökte misstänkt aktivitet hos en organisation vars namn inte har offentliggjorts. Deras resultat visar hur angripare kan utnyttja internetexponerad utrustning för att tjäna pengar på dess nätverksåtkomst.

Angriparen installerade programvara för bandbreddsdelning utan samtycke

Operationen använde Pawns.app, en legitim applikation som betalar kontoinnehavare för att dela sina internetanslutningar.

Under normala omständigheter tillåter användare frivilligt att trafik från tredje part passerar genom deras nätverk. I gengäld får de ersättning för att tillhandahålla lämpliga och tillgängliga IP-adresser.

Den här kampanjen kringgick dock kravet på samtycke. Angriparen installerade applikationen på komprometterade system, vilket gjorde det möjligt för någon annan att samla in den ekonomiska ersättningen.

Genom att registrera flera enheter kunde operatören potentiellt öka dessa utbetalningar. De rapporterade resultaten visar dock inte hur mycket pengar kampanjen genererade.

Kända sårbarheter gav åtkomst till enheter

Enligt GreyNoise utnyttjade angriparen flera kända sårbarheter för att få åtkomst och installera programvaran.

De berörda produkterna och identifierade sårbarheterna omfattade:

• D-Link ShareCenter NAS: CVE-2024-3272 och CVE-2024-3273.
• Ubiquiti UniFi Video NVR: CVE-2021-44228, allmänt känd som Log4Shell.
• SAP NetWeaver Visual Composer: CVE-2025-31324.

Forskarna observerade också aktivitet riktad mot videoinspelningsenheter från Hikvision och Dahua. De kunde dock inte identifiera vilka sårbarheter angriparen utnyttjade mot dessa system.

I vissa fall konfigurerade operatören dessutom SSH-nyckelautentisering som en alternativ åtkomstmetod. Det kunde ge ytterligare en väg in i en komprometterad enhet.

Oönskad proxytrafik skapar risker för ägarna

Proxyjacking-kampanjen gjorde mer än att förbruka bandbredd utan tillstånd. Den gjorde det också möjligt för trafik från tredje part att lämna nätverket via offrens publika IP-adresser.

Därmed kunde misstänkt aktivitet se ut att komma från anslutningens ägare, även när någon på en annan plats hade initierat den.

Residential proxy-tjänster har legitima användningsområden. Bristfällig övervakning kan dock också göra det möjligt för kunder att dirigera skadlig trafik genom de anslutningar som deltar i tjänsten.

Möjliga konsekvenser omfattar blockering av IP-adresser och anklagelser som kopplar ägare till aktiviteter de inte har godkänt. Separat har FBI varnat för att angripare använder residential proxies för storskaliga credential stuffing-attacker mot onlinetjänster.

Dessa bredare risker visar dock inte vilken trafik som passerade genom de enheter som komprometterades i just denna operation.

Kampanjen belyser riskerna med internetexponerad utrustning

Resultaten visar hur kända säkerhetsbrister kan förvandla lagringssystem, videoinspelare och annan uppkopplad utrustning till obehörig proxyinfrastruktur.

Incidenten understryker därför vikten av programvaruuppdateringar, starka inloggningsuppgifter, säkra konfigurationer och begränsad nätverksåtkomst.

GreyNoise erbjuder också en tjänst för kontroll av IP-adresser som kräver ett kostnadsfritt konto. Den gör det möjligt för användare att kontrollera om deras publika IP-adress förekommer i en känd legitim proxytjänst eller en proxytjänst på gråmarknaden.

I slutändan var det utmärkande för operationen missbruket av legitim programvara. Angriparen tillhandahöll de komprometterade enheterna, medan deras ägare ovetande tillhandahöll internetanslutningarna.