Een proxyjacking-campagne infecteert apparaten in 34 landen om internetverbindingen te misbruiken via een commercieel residential proxy-netwerk.
Een wereldwijde proxyjacking-campagne heeft apparaten in 34 landen getroffen, waarbij de internetverbindingen van slachtoffers worden gemonetariseerd via een commercieel residential proxy-netwerk. De aanvallers installeerden zonder toestemming de software Pawns.app, een legitieme applicatie voor het delen van bandbreedte waarmee gebruikers geld kunnen verdienen door hun internetverbinding beschikbaar te stellen.
Eigenaren van Pawns.app-accounts ontvangen een vergoeding wanneer verkeer van andere gebruikers via hun netwerk loopt, mits dit gebeurt via vertrouwde IP-adressen die niet worden geblokkeerd. Door de app op meerdere systemen te installeren, konden de aanvallers vermoedelijk hogere uitbetalingen genereren. Deze campagne werd ontdekt door het threat intelligence bedrijf GreyNoise tijdens onderzoek naar verdachte activiteiten bij een niet nader genoemde organisatie. Daarbij werden minstens 143 geïnfecteerde apparaten wereldwijd geïdentificeerd.
De aanvallers maakten gebruik van verschillende kwetsbaarheden om randapparatuur te compromitteren en de Pawns.app-software te installeren. Dit betrof onder meer CVE-2024-3272 en CVE-2024-3273 in D-Link ShareCenter NAS, CVE-2021-44228 in Ubiquiti UniFi Video NVR en CVE-2025-31324 in SAP NetWeaver Visual Composer. Daarnaast werden ook Hikvision en Dahua DVR/NVR-apparaten aangevallen, hoewel de gebruikte kwetsbaarheden hiervoor niet zijn gespecificeerd. In sommige gevallen configureerden de aanvallers SSH-sleutelauthenticatie als back-up toegangsoptie.
Zelfs legitieme proxy-netwerken kunnen door onvoldoende toezicht verdachte verkeersstromen via vrijwillige nodes laten lopen, wat kan leiden tot blokkades van IP-adressen of beschuldigingen van betrokkenheid bij illegale activiteiten. Eerder waarschuwde de FBI al dat dergelijke netwerken worden misbruikt voor grootschalige credential stuffing-aanvallen op online platforms. GreyNoise biedt een gratis dienst (met account) waarmee gebruikers kunnen controleren of hun IP-adres onderdeel is van een bekend legitiem of grijs proxy-netwerk.
Het is aan te raden om software alleen van betrouwbare bronnen te downloaden, aangezien zogenaamd gratis software malware kan bevatten die apparaten inschrijft in residential proxy-netwerken. Daarnaast maken dreigingsactoren vaak gebruik van bekende kwetsbaarheden in internetverbonden apparaten. Het up-to-date houden van NAS-apparaten, videorecorders en andere systemen die direct aan het internet zijn gekoppeld, kan het risico op compromittering aanzienlijk verkleinen. Verder is het belangrijk sterke credentials te gebruiken, een veilige configuratie toe te passen en netwerktoegang te beperken.
