Роутеры наняли в прокси без спроса

Исследователи компании GreyNoise обнаружили кампанию proxyjacking — незаконного подключения чужих устройств к прокси-сети, чтобы зарабатывать на использовании их интернет-канала. В ходе атаки пострадали как минимум 143 устройства в 34 странах. Среди них — сетевые хранилища D-Link ShareCenter, видеорегистраторы Ubiquiti UniFi Video NVR и системы SAP NetWeaver Visual Composer. Также атакующие пытались взломать устройства видеонаблюдения Hikvision и Dahua, однако GreyNoise не уточнила, какие уязвимости использовались против них.

Прокси-сервер передаёт интернет-трафик через другое устройство. В случае residential proxy — «домашнего прокси» — трафик идёт через IP-адрес обычного пользователя. Такие адреса востребованы: с их помощью можно скрыть источник запросов и выглядеть в сети как обычный домашний абонент. Злоумышленники создают собственные прокси-сети из заражённых устройств, а затем используют их или сдают в аренду. Среди крупных вредоносных сетей такого типа были IPIDEA, NetNut и Cloudrouter; к настоящему времени их ликвидировали или серьёзно нарушили их работу.

Обычно для включения чужого устройства в такую сеть хакеры устанавливают вредоносную программу. Но антивирус может обнаружить и удалить её. В кампании, изученной GreyNoise, атакующие пошли менее очевидным путём: использовали легальное приложение Pawns.app. Оно известно как платформа вознаграждений, где пользователи получают деньги за онлайн-опросы и игры. Ранее приложение также позволяло зарабатывать, предоставляя компаниям возможность направлять интернет-трафик через домашний IP-адрес участника.

В начале 2026 года Pawns.app прекратило эту функцию. На сайте компании говорится, что обмен интернет-каналом больше не предлагается и не связан с Pawns.app. Однако в условиях использования функция всё ещё упоминается для некоторых версий приложения, а на сайте для бизнеса по-прежнему рекламируется SDK — программный набор для разработчиков — для монетизации пропускной способности. По данным GreyNoise, атакующие воспользовались тем, что старые версии приложения, судя по всему, продолжают поддерживать обмен трафиком, и развернули Pawns.app на взломанных устройствах.

Для проникновения в устройства D-Link использовались уязвимости CVE-2024-3272 и CVE-2024-3273. В системах Ubiquiti применялась CVE-2021-44228, а в SAP NetWeaver Visual Composer — CVE-2025-31324. Устройства Hikvision и Dahua также оказались среди целей, но конкретные уязвимости для них исследователи не назвали.

Само приложение может быть легальным, однако установка без ведома владельца устройства не становится законной оттого, что вместо вредоносного ПО использовали обычную программу. GreyNoise подчёркивает: добровольное участие в сервисе заработка на интернет-канале и принудительное включение чужого устройства в прокси-сеть — разные вещи. Второе является преступлением.

GreyNoise сообщила, что создала бесплатный сервис для проверки, взаимодействовал ли IP-адрес пользователя с её Global Observation Grid — глобальной системой наблюдения за сетевой активностью. Такая проверка может стать одним из признаков возможного proxyjacking, но сама по себе не доказывает заражение.

Компаниям рекомендуют обучать сотрудников осторожности при установке бесплатных приложений и своевременно обновлять устройства, устраняя известные уязвимости. Кроме того, организациям стоит проверять журналы входа на предмет IP-адресов residential proxy и необычного поведения при аутентификации. Важно смотреть не только на геолокацию, но и на несовпадения идентификаторов устройства и сеанса: иногда именно такие детали выдают чужой трафик под видом обычного пользователя.