Киберпрестъпници използват уязвимости в мрежови устройства, видеорегистратори и корпоративни системи, за да инсталират приложението Pawns.app без знанието на собствениците. Открити са най-малко 143 компрометирани устройства, чиито интернет връзки могат да бъдат използвани за генериране на приходи и пренасочване на чужд трафик.

Легитимно приложение, използвано без съгласие

Кампания за т.нар. proxyjacking е засегнала устройства в 34 държави, като превръща интернет връзките на жертвите в източник на приходи за нападателите. За целта те инсталират Pawns.app – легитимно приложение, което позволява на потребителите да печелят пари, предоставяйки част от интернет пропускателната си способност за пренос на трафик през техните IP адреси.

При нормална употреба участниците доброволно се включват в мрежата и получават възнаграждение. В наблюдаваната кампания обаче приложението е инсталирано без знанието и съгласието на собствениците на компрометираните устройства. Така нападателите вероятно са разширили приходите си, като са включили множество чужди системи в услугата.

Компанията за разузнаване на заплахи GreyNoise е открила кампанията при разследване на подозрителна активност в неназована организация. Анализът е установил най-малко 143 компрометирани устройства по света.

Използвани са уязвимости в NAS, видеосистеми и корпоративен софтуер

Според GreyNoise нападателите са използвали няколко известни уязвимости, за да получат достъп до периферни устройства, изложени на риск заради недостатъчна защита или остарял софтуер.

Сред посочените уязвимости са:

• CVE-2024-3272 и CVE-2024-3273 – в мрежови устройства за съхранение D-Link ShareCenter NAS;
• CVE-2021-44228 – известната уязвимост Log4Shell, свързана с Ubiquiti UniFi Video NVR;
• CVE-2025-31324 – в SAP NetWeaver Visual Composer.

Изследователите са наблюдавали и насочване към DVR/NVR устройства на Hikvision и Dahua, но не са посочили конкретните уязвимости, използвани за компрометирането им.

В някои случаи нападателите са конфигурирали SSH удостоверяване чрез ключове като резервен метод за достъп. Това е особено важно за защитниците: дори първоначалната уязвимост да бъде отстранена, допълнително създаденият механизъм за отдалечен достъп може да позволи на атакуващите да запазят присъствието си в системата.

Какъв е рискът от включване в прокси мрежа?

Proxyjacking използва интернет връзката и публичния IP адрес на компрометираното устройство, за да пренасочва трафик на други потребители. За разлика от класическото използване на ресурсите на заразена система за добив на криптовалути, тук основният ресурс е мрежовата свързаност.

Макар Pawns.app да е легитимна услуга, използването на резидентни прокси мрежи не гарантира, че целият преминаващ през тях трафик е добросъвестен. Недостатъчният контрол върху клиентите и крайните потребители може да позволи IP адресите на участниците да бъдат използвани при подозрителни или незаконни дейности.

Последствията могат да включват блокиране на IP адреси, ограничения при достъпа до онлайн услуги и разследвания, при които собственикът на интернет връзката трябва да обяснява активност, която не е извършвал лично.

ФБР вече е предупреждавало за използването на резидентни прокси мрежи при мащабни атаки за отгатване и автоматизирано изпробване на откраднати потребителски данни (credential stuffing) срещу онлайн платформи.

GreyNoise предлага безплатна услуга, за която е необходим акаунт, чрез която потребителите могат да проверят дали техният IP адрес е свързан с известна легитимна или т.нар. сива прокси услуга.

Как организациите могат да ограничат риска?

Кампанията показва, че компрометирането на периферни устройства може да доведе не само до загуба на достъп или изтичане на данни, но и до злоупотреба с мрежовата инфраструктура за генериране на приходи и пренасочване на чужд трафик.

За ограничаване на риска организациите трябва да предприемат няколко основни мерки:

• Актуализиране на фърмуера и софтуера на NAS устройствата, видеорегистраторите, мрежовото оборудване и корпоративните приложения.
• Ограничаване на достъпа отвън – административните интерфейси и услугите за отдалечено управление не трябва да са публично достъпни без основателна необходимост.
• Използване на силни удостоверителни данни и сигурни механизми за удостоверяване, включително многофакторна автентикация, когато се поддържа.
• Проверка на SSH конфигурациите и оторизираните ключове, особено при устройства със съмнителна активност.
• Наблюдение на изходящия трафик и търсене на необичайни връзки, неочаквани процеси и непознат софтуер за споделяне на пропускателна способност.

При съмнение за компрометиране не е достатъчно само да се премахне приложението. Необходимо е да се провери начинът, по който нападателите са получили достъп, да се потърсят механизми за устойчиво присъствие и да се прегледат акаунтите, ключовете и настройките за отдалечено управление.

Proxyjacking кампанията е напомняне, че легитимният софтуер също може да се превърне в инструмент за злоупотреба, когато бъде инсталиран без разрешение. Защитата на устройствата, изложени директно в интернет, изисква не само своевременно обновяване, но и ограничаване на достъпа, надеждно удостоверяване и постоянно наблюдение на поведението им.