Специалисты GreyNoise обнаружили кампанию, в которой злоумышленники тихо захватывают сетевые устройства и превращают их в узлы коммерческой прокси-сети. На заражённых системах они ставят легитимное приложение Pawns.app — без согласия владельцев и, судя по всему, ради постоянного заработка на чужом интернет-канале.

Исследователи уже нашли как минимум 143 скомпрометированных устройства в 34 странах. Речь идёт о домашнем и корпоративном оборудовании, которое часто работает без присмотра и редко получает свежие обновления.

Что произошло

Pawns.app — это обычное приложение, с помощью которого пользователи могут зарабатывать, делясь своим подключением к интернету. Его ценность для таких схем понятна: сервису нужны обычные, не заблокированные IP-адреса, а домашние и офисные сети подходят лучше всего.

Проблема в том, что злоумышленники используют этот механизм не по правилам. Они устанавливают приложение на чужие устройства скрытно и собирают выплаты с большого числа заражённых систем.

Сама схема выглядит просто, но бьёт по владельцу очень неприятно. Формально на его устройстве может стоять легитимный софт, а по факту через него идёт посторонний трафик, который может создать проблемы с репутацией IP-адреса.

Как это сделано

Кампания всплыла во время расследования подозрительной активности в сети одной организации. Дальше аналитики восстановили цепочку атаки и увидели, что злоумышленники заходили через давно известные уязвимости в сетевом оборудовании и серверах.

Среди них — CVE-2024-3272 и CVE-2024-3273 в D-Link ShareCenter NAS, CVE-2021-44228 в Ubiquiti UniFi Video NVR и CVE-2025-31324 в SAP NetWeaver Visual Composer. Кроме того, атаке подверглись видеорегистраторы Hikvision и Dahua, хотя конкретные баги в этих случаях исследователи не раскрывают.

В части устройств хакеры ещё и настраивали вход по SSH-ключу, чтобы оставить себе запасной доступ. Такая деталь обычно говорит о том, что атакующие не просто один раз проникли в систему, а рассчитывают вернуться позже.

Подобные истории уже встречались и раньше: достаточно вспомнить атаку через цепочку старых багов или кейс с бэкдором через обновления. В обоих случаях слабым местом оказался не один громкий дефект, а сочетание устаревшего ПО и открытого наружу управления.

Кого затронуло и чем это опасно

Под удар попали владельцы NAS, видеорегистраторов и другого сетевого оборудования, которое доступно из интернета. Для бизнеса это особенно неприятно: такое устройство часто стоит на границе сети и при компрометации даёт атакующему удобную точку входа.

Главный риск не только в потере контроля над самим устройством. Если через ваш IP пойдёт подозрительная активность, адрес могут занести в блок-листы, а вы потом будете разбираться, почему ломаются почта, сервисы или удалённый доступ.

GreyNoise отдельно предупреждает: даже легитимные прокси-сервисы могут пропускать через узлы клиентов подозрительный трафик, если плохо контролируют пользователей. В итоге владелец устройства оказывается связан с чужой противоправной активностью, хотя сам к ней не имеет отношения.

На фоне таких схем особенно важно следить за базовой гигиеной сети. Если у вас уже сейчас нестабильно ведут себя сервисы, полезно сначала проверить саму линию и оборудование — а не списывать всё на внешние проблемы вроде «не работает мобильный интернет что делать» или «почему не работает телеграмм через мобильный интернет».

Что делать сейчас

Первое правило — обновить прошивки и закрыть наружный доступ там, где он не нужен. Для NAS, видеорегистраторов и роутеров это критично: именно старые уязвимости чаще всего дают злоумышленникам вход.

Второе — убрать слабые пароли и пересмотреть админские учётные записи. Если есть SSH-доступ или веб-панель управления, проверьте, кто и как может входить в систему, и отключите лишнее.

Третье — посмотрите журналы входа и список установленных приложений. Неизвестные сервисы, необычные задания, новый SSH-ключ или непонятные исходящие соединения — веский повод для проверки.

Для удалённой работы, фриланса и приватных задач на личных устройствах можно использовать инструмент шифрования трафика от Freedome как один из элементов защиты. Но он не заменяет обновления, смену паролей и нормальную настройку самого оборудования.

Практический чек-лист

  • Обновите прошивку на NAS, видеорегистраторах, роутерах и других сетевых устройствах.
  • Отключите внешний доступ к админ-панели, если он не нужен для работы.
  • Смените стандартные и слабые пароли на длинные уникальные.
  • Проверьте, нет ли новых SSH-ключей, неизвестных учётных записей и странных служб.
  • Посмотрите исходящий трафик устройства: оно не должно само отправлять данные куда попало.
  • Уберите из сети старое оборудование, которое больше не получает обновления.
  • Если устройство уже в деле давно, перезагрузите его и ещё раз проверьте настройки после обновления.
  • Для важных систем заведите отдельный сегмент сети, чтобы не смешивать их с домашними гаджетами.
Поделиться: