Wprowadzenie do problemu / definicja
Proxyjacking to forma nadużycia, w której atakujący przejmują urządzenia podłączone do internetu i wykorzystują je jako pośredników do przekazywania ruchu sieciowego. Zamiast kraść dane lub szyfrować systemy, cyberprzestępcy monetyzują cudzą infrastrukturę, sprzedając dostęp do łącza ofiary w modelu przypominającym komercyjne sieci proxy rezydencyjnych.
W najnowszej opisanej kampanii celem stały się urządzenia brzegowe, w tym sprzęt D-Link, Ubiquiti oraz inne systemy internet-facing. Atakujący instalowali na nich legalną aplikację do współdzielenia pasma bez wiedzy właścicieli, tworząc zaplecze do dalszej odsprzedaży ruchu wychodzącego.
W skrócie
- Napastnicy przejmowali urządzenia D-Link, Ubiquiti i inne systemy brzegowe.
- Na zainfekowanych hostach instalowano legalne narzędzie Pawns.app do monetyzacji przepustowości.
- Zidentyfikowano co najmniej 143 przejęte urządzenia w 34 krajach.
- W łańcuchu ataku wykorzystywano znane podatności, a w części przypadków wdrażano także trwały dostęp przez SSH oparty na kluczach.
Kontekst / historia
Rynek proxy rezydencyjnych od dawna funkcjonuje na pograniczu legalnych zastosowań biznesowych i nadużyć. W legalnym modelu użytkownik świadomie udostępnia część swojego łącza w zamian za wynagrodzenie. W modelu przestępczym identyczny mechanizm wdrażany jest bez zgody właściciela urządzenia, który często nie wie nawet, że jego sprzęt bierze udział w cudzych operacjach sieciowych.
Tego typu kampanie wpisują się w szerszy trend wykorzystywania słabiej chronionych urządzeń brzegowych jako trwałej infrastruktury pośredniczącej. Szczególnie narażone są starsze NAS-y, rejestratory NVR i DVR, kontrolery sieciowe oraz aplikacje administracyjne wystawione do internetu. Opóźnione aktualizacje, słaby hardening i publicznie dostępne interfejsy zarządzania znacząco ułatwiają kompromitację.
Analiza techniczna
Badacze wskazali, że operatorzy kampanii wykorzystywali wiele znanych luk do uzyskania zdalnego dostępu do urządzeń. Wśród nich wymieniono CVE-2024-3272 i CVE-2024-3273 dotyczące D-Link ShareCenter NAS, CVE-2021-44228 w Ubiquiti UniFi Video NVR oraz CVE-2025-31324 w SAP NetWeaver Visual Composer. Odnotowano również aktywność obejmującą urządzenia Hikvision i Dahua, choć bez jednoznacznego przypisania konkretnych identyfikatorów CVE.
Po przejęciu dostępu napastnicy instalowali Pawns.app, czyli legalną aplikację służącą do zarabiania na współdzieleniu połączenia internetowego. To ważna zmiana z perspektywy obrony, ponieważ zagrożenie nie musi przyjmować postaci klasycznego złośliwego oprogramowania z własnym modułem proxy. Wystarczy nadużyć legalnego narzędzia, aby przekształcić urządzenie w komercyjny punkt wyjściowy dla obcego ruchu.
Taka metoda przynosi atakującym kilka korzyści. Legalna aplikacja może wzbudzać mniej podejrzeń niż niestandardowy implant, cały model rozliczeń jest gotowy, a ruch wychodzący z adresów IP ofiar może wyglądać bardziej wiarygodnie niż aktywność pochodząca z centrów danych czy znanych usług anonimizujących.
W części przypadków operatorzy wdrażali również mechanizm utrzymania dostępu oparty na SSH i kluczach publicznych. To oznacza, że nawet po usunięciu widocznego komponentu ofiara mogła nadal pozostawać pod kontrolą napastnika, jeśli nie przeprowadzono pełnej analizy powłamaniowej.
Konsekwencje / ryzyko
Najbardziej bezpośrednim skutkiem takiego ataku jest kradzież przepustowości i zwiększone obciążenie łącza internetowego. Problem jest jednak znacznie szerszy. Ruch prowadzony przez przejęte urządzenie może zostać wykorzystany do omijania ograniczeń geograficznych, ukrywania infrastruktury przestępczej, prowadzenia oszustw, prób logowania do kont lub innych form nadużyć automatycznych.
Dla organizacji oznacza to jednocześnie ryzyko techniczne, operacyjne, prawne i reputacyjne. Spadek wydajności, wzrost zużycia łącza oraz trudności w analizie anomalii sieciowych to tylko część skutków. Znacznie poważniejsze może być powiązanie firmowego adresu IP z podejrzaną aktywnością, co może prowadzić do blokad, zgłoszeń abuse, alarmów od partnerów lub konieczności uruchomienia incydent response wobec ruchu, którego organizacja faktycznie nie generowała.
Szczególnie niebezpieczne są sytuacje, w których urządzenia brzegowe pozostają poza standardowym monitoringiem bezpieczeństwa. NAS-y, rejestratory, kontrolery i starsze systemy webowe często nie są objęte tym samym reżimem zarządzania poprawkami i detekcji co serwery czy stacje robocze, przez co stają się łatwym celem dla operatorów kampanii proxyjackingowych.
Rekomendacje
Podstawowym krokiem powinno być pełne zinwentaryzowanie urządzeń wystawionych do internetu, zwłaszcza NAS-ów, NVR-ów, DVR-ów, kontrolerów sieciowych i aplikacji administracyjnych. Organizacje powinny sprawdzić wersje oprogramowania, dostępność poprawek oraz rzeczywisty poziom ekspozycji tych systemów.
- Niezwłocznie łatać znane podatności i wycofywać systemy bez wsparcia producenta.
- Ograniczać publiczny dostęp do interfejsów administracyjnych i przenosić zdalne zarządzanie za VPN lub listy kontroli dostępu.
- Segmentować urządzenia brzegowe i wydzielać osobne strefy administracyjne.
- Monitorować nietypowy ruch wychodzący z urządzeń, które normalnie nie generują dużego transferu.
- Sprawdzać nieautoryzowane procesy, zadania, kontenery oraz zmiany w konfiguracji SSH, zwłaszcza dodawanie nowych kluczy publicznych.
- Analizować wzrost użycia CPU, pamięci i łącza bez uzasadnienia biznesowego.
Jeśli istnieje podejrzenie kompromitacji, nie należy ograniczać się do usunięcia pojedynczego komponentu. Konieczna jest pełna analiza powłamaniowa obejmująca konta lokalne, klucze SSH, zadania harmonogramu, artefakty pobrań i historię połączeń wychodzących. Po oczyszczeniu środowiska zalecana jest także rotacja poświadczeń administracyjnych oraz przegląd reguł dostępu sieciowego.
Podsumowanie
Opisana kampania pokazuje, że monetyzacja incydentów bezpieczeństwa nie musi dziś opierać się na ransomware ani kradzieży danych. Przejęcie urządzeń D-Link, Ubiquiti i innych systemów brzegowych w celu odsprzedaży pasma łączy eksploatację znanych podatności, nadużycie legalnego oprogramowania i długotrwałe utrzymanie dostępu. Dla zespołów bezpieczeństwa to wyraźny sygnał, że urządzenia internet-facing powinny być chronione z taką samą dyscypliną jak klasyczne serwery i endpointy.
Źródła
- https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/
- https://www.greynoise.io/
- https://pawns.app/
- https://www.ic3.gov/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog