Хакеры сдают взломанные D-Link и Ubiquiti в аренду как прокси

Исследователи GreyNoise раскрыли кампанию, в которой хакеры захватили минимум 143 устройства в 34 странах и поставили на них легитимное приложение Pawns.app. Программа превращает чужое интернет-подключение в узел платной прокси-сети, а деньги за трафик получают преступники. Владельцы железа ни на что не соглашались и могли вообще не замечать, что их NAS или видеорегистратор вкалывает на чужого дядю.

Proxyjacking обходится без шифрования и выкупа — хакер ставит приложение, привязывает его к своему аккаунту и спокойно собирает монетки, пока через устройство жертвы гоняют чужой трафик.

Один взломанный видеорегистратор приносит копейки, зато сотня устройств собирается в прокси-ферму с пассивным доходом, и шифровальщики с торгами за выкуп нервно курят в сторонке. GreyNoise наткнулись на кампанию, когда разбирали подозрительную активность в сети одной из организаций. Заходили хакеры через четыре известные дыры в железе и софте:

• уязвимость CVE-2024-3272 в сетевых хранилищах D-Link ShareCenter с жёстко прошитыми учётными данными;
• уязвимость CVE-2024-3273 в тех же хранилищах, где через кривой обработчик запросов запускаются команды;
• Log4Shell, она же CVE-2021-44228, в видеорегистраторах Ubiquiti UniFi Video;
• уязвимость CVE-2025-31324 в SAP NetWeaver Visual Composer с загрузкой файлов без авторизации.

Баги в D-Link затрагивают устаревшие DNS-320L, DNS-325, DNS-327L и DNS-340L. Производитель отправил эти модели в EOL, патчей не будет, а рекомендация одна — выкинуть и купить новое. Российским пользователям стоит заглянуть в шкаф и на антресоли, потому что D-Link у нас в домах и офисах встречается повсеместно, и старенькая коробка из линейки DNS вполне может тихо пылиться в углу и гонять чужой трафик.

Интересно, что даже самый дотошный админ не спасёт такое хранилище обновлением, потому что патчей для него уже не будет никогда.

Log4Shell прогремела ещё в 2021 году, затрагивает библиотеку Apache Log4j и позволяет удалённо выполнять код в уязвимых конфигурациях. Пятый год дыра работает как открытая форточка, значит забытые компоненты в старом железе живут дольше любых мемов про них. SAP NetWeaver Visual Composer добавляет в коллекцию загрузку файлов без авторизации — если сервис торчит в интернет, хакер кладёт туда вредоносный компонент и развивает атаку дальше. Исследователи отметили интерес хакеров и к камерам Hikvision и Dahua, хотя конкретные баги в отчёте не названы, а в России оборудование этих брендов встречается на каждом шагу.

В ряде случаев хакеры настраивали аутентификацию по SSH-ключу и оставляли себе запасной вход. Даже если первоначальная дыра закрылась, чужой ключ открывает дорогу обратно, поэтому удалить Pawns.app и считать вопрос решённым не получится. При расследовании мало смотреть запущенные процессы, ревизия должна затронуть:

• список авторизованных SSH-ключей;
• новые учётные записи;
• задания автозапуска и системные службы;
• изменения в конфигурации удалённого доступа.

После подтверждённого взлома придётся сменить затронутые пароли и ключи доступа, а при необходимости восстановить устройство из проверенного состояния.

Residential proxy — это сеть узлов на обычных домашних и офисных IP-адресах, и у неё есть вполне законные применения вроде проверки доступности сайтов из разных стран или тестов локализованного контента. Пользователь сам ставит приложение, принимает условия и получает копеечку за аренду части канала. При proxyjacking согласия никто не спрашивает.

Уточняется, что внешние сервисы видят только IP скомпрометированного устройства, а не реального пользователя, поэтому за чужие подвиги отвечать придётся владельцу.

Если через захваченный узел идут массовые попытки входа в чужие аккаунты или рассылается спам, владельца ждёт:

• попадание IP-адреса в блок-листы;
• ограничения доступа к сайтам и лишние проверки;
• вопросы о подозрительной активности, которую он не затевал.

ФБР ранее предупреждало, что жилые прокси-сети используют для credential stuffing, когда хакеры прогоняют пары логинов и паролей из старых утечек. Запросы расползаются по множеству обычных IP-адресов, и классическим фильтрам трудно отличить бота от обычного юзера.

GreyNoise выкатила сервис проверки IP-адресов, где видно, светился ли адрес в системе мониторинга и связан ли он с известными прокси-сетями. Нужен бесплатный аккаунт. Результат пригодится при расследовании, но заражение он не доказывает и всю подозрительную активность поймать не гарантирует. Владельцам NAS, камер и другой техники с выходом в интернет стоит пройтись по базовому чек-листу:

• проверить модель и версию прошивки и поставить обновление, если производитель его выпускает;
• заменить устройство или полностью изолировать от внешней сети, если оно давно в EOL;
• отключить ненужное удалённое управление и не выставлять SSH и веб-панели напрямую в интернет;
• ходить в админку через VPN или с разрешённых адресов, держать уникальные пароли, подключить MFA и регулярно читать журналы.

Эксперты CISOCLUB отметили, что proxyjacking привлекает хакеров низким порогом входа и отсутствием шума, ведь заражённое устройство продолжает работать как обычно, а владелец не видит признаков взлома. Главная проблема сидит в оборудовании, которое сняли с поддержки, но оставили торчать в интернет, потому что оно ещё работает. Для компаний такой узел грозит репутационными потерями, если с их адреса пойдёт атака на третьих лиц. Железо без поддержки производителя нужно планово выводить из эксплуатации, а администрирование прятать за VPN и жёстко ограничивать по адресам.

После любого подтверждённого взлома чистка одного приложения закрывает лишь часть вопроса, поэтому проверка ключей, учёток и автозапуска должна входить в обязательный регламент реагирования. Домашним пользователям достаточно не выставлять NAS и камеры напрямую в сеть и раз в квартал смотреть, не появилось ли в системе лишнего.

Ранее сообщалось, что связанная с Китаем хакерская группа Fire Ant расширила кампанию кибершпионажа, включив в неё не только виртуальные серверы VMware, но и маршрутизаторы Cisco, серверы TACACS и отдельные компьютеры под управлением Linux, используемые для администрирования сетевой инфраструктуры. Исследователи компании Sygnia выяснили, что злоумышленники захватили контроль над оборудованием Cisco IOS XR и превратили его в узел для перехвата сетевого трафика. Кроме того, хакеры научились удалять журналы событий, затрудняя расследование атак и восстановление полной картины произошедшего.