Wprowadzenie do problemu
Proxyjacking to technika nadużycia, w której przejęte urządzenie jest wykorzystywane jako pośrednik w ruchu sieciowym bez wiedzy i zgody właściciela. W praktyce oznacza to, że cyberprzestępcy monetyzują cudzy adres IP oraz przepustowość, sprzedając dostęp do nich w ramach komercyjnych sieci proxy.
Najnowsze obserwacje badaczy pokazują, że celem takich działań są już nie tylko komputery użytkowników, ale również urządzenia brzegowe i infrastrukturalne, w tym NAS-y, rejestratory wideo oraz wybrane systemy sieciowe. To istotna zmiana, ponieważ tego typu sprzęt często działa przez długi czas bez bieżącego nadzoru administracyjnego.
W skrócie
- Badacze wykryli kampanię proxyjackingową obejmującą urządzenia w wielu krajach.
- Napastnicy instalowali legalną aplikację do współdzielenia łącza internetowego na przejętych systemach.
- Wektorami wejścia były m.in. znane podatności w urządzeniach D-Link ShareCenter NAS, Ubiquiti UniFi Video NVR oraz SAP NetWeaver Visual Composer.
- W części przypadków atakujący dodawali klucze SSH, aby utrzymać trwały dostęp do środowiska ofiary.
Kontekst i historia
Zjawisko proxyjacking nie jest nowe, ale dotychczas najczęściej kojarzono je ze stacjami roboczymi, malware lub złośliwymi rozszerzeniami przeglądarkowymi. Obecnie model ten wyraźnie przesuwa się w stronę urządzeń stale podłączonych do internetu, takich jak systemy SOHO, NAS, DVR, NVR czy appliance’y aplikacyjne.
Dla operatorów takich kampanii to atrakcyjny cel. Sprzęt brzegowy ma zwykle długi cykl życia, bywa publicznie wystawiony do internetu i nierzadko działa z niezałatanymi lukami przez wiele miesięcy. Co ważne, atak nie musi prowadzić do destrukcji czy kradzieży danych. Wystarczy cicha kompromitacja, która pozwala czerpać zyski z cudzego łącza bez wzbudzania podejrzeń.
Analiza techniczna
W opisywanej kampanii napastnicy instalowali Pawns.app, czyli legalne oprogramowanie służące do współdzielenia przepustowości internetowej. Z technicznego punktu widzenia to istotne, ponieważ atakujący nie musieli tworzyć własnego rozbudowanego zaplecza malware odpowiedzialnego za obsługę ruchu proxy. Wystarczyło uzyskanie uprawnień administracyjnych i uruchomienie gotowego narzędzia generującego przychód.
Według opublikowanych informacji wykorzystano kilka znanych podatności jako ścieżki wejścia do środowiska ofiar. Wskazano luki CVE-2024-3272 i CVE-2024-3273 w D-Link ShareCenter NAS, CVE-2021-44228 w Ubiquiti UniFi Video NVR oraz CVE-2025-31324 w SAP NetWeaver Visual Composer.
Badacze odnotowali także ataki na urządzenia Hikvision i Dahua z kategorii DVR oraz NVR, choć bez jednoznacznego przypisania konkretnych identyfikatorów CVE w opisie kampanii. Sugeruje to, że operatorzy korzystali z różnych łańcuchów eksploatacji, dobierając metodę do typu i ekspozycji przejętego urządzenia.
Po uzyskaniu dostępu kluczowe było utrzymanie obecności w systemie. W części przypadków napastnicy konfigurowali klucze SSH jako zapasowy kanał dostępu. Taki mechanizm trwałości oznacza, że sama zmiana hasła administracyjnego może nie wystarczyć do pełnego usunięcia intruza.
Kampania wyróżnia się również tym, że używa legalnej aplikacji i legalnego modelu biznesowego jako warstwy monetyzacji. To utrudnia wykrywanie oparte wyłącznie na reputacji plików czy domen. W praktyce o podejrzanym charakterze działania decyduje kontekst: aplikacja do współdzielenia łącza nie powinna działać na NAS-ie, rejestratorze wideo ani urządzeniu infrastrukturalnym.
Konsekwencje i ryzyko
Najbardziej bezpośrednim skutkiem jest utrata części przepustowości oraz pogorszenie jakości usług sieciowych. To jednak dopiero początek problemu. Ruch wychodzący realizowany przez przejęte urządzenie jest przypisywany do publicznego adresu IP ofiary, co może prowadzić do problemów reputacyjnych, blokad usług i powiązania organizacji z podejrzaną aktywnością.
Dla firm i instytucji ryzyko jest jeszcze szersze. Skoro atakujący uzyskał zdalne wykonanie poleceń lub dostęp administracyjny do urządzenia brzegowego, może wykorzystać je także jako punkt pivotingu do dalszej penetracji sieci, rekonesansu, przechwytywania ruchu albo wdrożenia kolejnych narzędzi.
Nie można też pomijać aspektu zgodności i audytu. Obecność nieautoryzowanego oprogramowania na urządzeniach odpowiedzialnych za przechowywanie danych, monitoring lub usługi biznesowe może oznaczać naruszenie polityk bezpieczeństwa i procedur zarządzania podatnościami.
Rekomendacje
Organizacje powinny traktować urządzenia brzegowe jako pełnoprawne zasoby krytyczne. Ochrona takich systemów nie może kończyć się na podstawowej konfiguracji po wdrożeniu.
- Pilne łatanie podatności: należy niezwłocznie zweryfikować ekspozycję urządzeń D-Link, Ubiquiti, SAP oraz innych systemów dostępnych z internetu i wdrożyć poprawki lub obejścia producenta.
- Inwentaryzacja usług publicznych: trzeba ustalić, które NAS-y, DVR-y, NVR-y i interfejsy administracyjne są osiągalne z sieci publicznej, a następnie ograniczyć dostęp przez VPN, ACL lub segmentację.
- Przegląd mechanizmów trwałości: analiza powinna objąć konta lokalne, klucze SSH, zadania harmonogramu, skrypty startowe, usługi systemowe i niestandardowe reguły zapory.
- Monitorowanie ruchu wychodzącego: warto wykrywać anomalie transferu, długotrwałe połączenia do zewnętrznych usług proxy oraz wzorce nietypowe dla danego typu urządzenia.
- Twarda konfiguracja: należy stosować silne hasła, aktualne firmware, wyłączać nieużywane usługi i ograniczać zdalne zarządzanie do niezbędnego minimum.
- Playbooki IR dla appliance’ów: zespoły bezpieczeństwa powinny posiadać osobne procedury reagowania dla urządzeń embedded, obejmujące bezpieczny reset, odtworzenie firmware i walidację integralności.
- Kontrola legalnego oprogramowania: nawet narzędzia uznawane za legalne mogą zostać użyte w nieuprawnionym kontekście, dlatego na urządzeniach infrastrukturalnych należy egzekwować listy dozwolonych aplikacji.
Podsumowanie
Opisana kampania pokazuje, że współczesne ataki na urządzenia brzegowe coraz częściej łączą wykorzystanie znanych luk z cichą, długoterminową monetyzacją zasobów ofiary. Proxyjacking nie wymaga dziś głośnego malware ani widocznego sabotażu — wystarczy kompromitacja słabo chronionego systemu i uruchomienie legalnego narzędzia, które sprzedaje cudzą przepustowość.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona infrastruktury powinna obejmować nie tylko klasyczne serwery i stacje robocze, ale także NAS-y, rejestratory oraz inne urządzenia stale obecne na styku z internetem. Właśnie tam coraz częściej rozgrywa się cichy etap współczesnych kampanii monetyzacyjnych.
Źródła
- BleepingComputer — Hackers hijack D-Link, Ubiquiti devices to resell your stolen bandwidth — https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/