Хакер превратил не менее 143 чужих устройств в 34 странах в источник заработка на интернет-трафике. Вместо привычного ботнета для DDoS-атак злоумышленник установил на взломанную технику легальное приложение Pawns.app, которое продаёт доступ к чужим IP-адресам.
Кампанию обнаружили специалисты GreyNoise. Атакующий использовал уязвимости в сетевых хранилищах, видеорегистраторах и корпоративном ПО, чтобы подключать устройства к коммерческой прокси-сети без согласия владельцев. Такой способ заработка называют proxyjacking. В отличие от добровольной сдачи интернет-канала в аренду, прибыль здесь получает посторонний человек.
Злоумышленник эксплуатировал две уязвимости D-Link ShareCenter NAS, CVE-2024-3272 и CVE-2024-3273. Среди других целей оказались видеорегистраторы Ubiquiti UniFi Video NVR с уязвимостью CVE-2021-44228 и серверы SAP NetWeaver Visual Composer с CVE-2025-31324. Исследователи также заметили интерес к устройствам Hikvision и Dahua, но не подтвердили их взлом.
После получения доступа атакующий устанавливал Pawns.app. Программа позволяет владельцам устройств добровольно делиться пропускной способностью интернет-соединения за вознаграждение. Сервис связан с поставщиком резидентных прокси IPRoyal. В данном случае приложение запускали на чужом оборудовании, а деньги за использование трафика направляли на учётную запись злоумышленника.
Внимание исследователей привлекли варианты Pawns.app для командной строки. При запуске можно передать логин, пароль и сведения об устройстве, поэтому оператору не нужно вручную регистрировать каждый заражённый узел. У GreyNoise есть адрес электронной почты skynox7@proton.me, связанный с аккаунтом для выплат, и IP-адрес 209.99.190.80, с которого проводились атаки.
В отдельных случаях преступник дополнительно прописывал собственный SSH-ключ, сохраняя запасной способ входа на взломанное устройство. Даже если прокси-приложение удалят, такой доступ может остаться. При этом сама Pawns.app не обязательно вредоносна. Нарушение возникает, когда программу без разрешения устанавливают на чужую технику и распоряжаются её сетевым подключением.
Схема опасна не только расходом трафика. Клиенты резидентных прокси выходят в интернет через IP-адреса обычных пользователей и организаций, поэтому запросы могут выглядеть как привычные подключения из нужного региона. GreyNoise описала случай, когда подозрительные входы в Microsoft Entra ID шли через домашние адреса. Проверка подтвердила серьёзное вторжение, но его связь с кампанией skynox7 не установлена.
GreyNoise рекомендует проверять входы с резидентных прокси, особенно когда несколько сотрудников используют один адрес, и сравнивать идентификаторы устройств, сессий и браузеров. Владельцам оборудования советуют устанавливать исправления и проверять подозрительную сетевую активность. Один лишь домашний IP больше не гарантирует, что за подключением стоит обычный пользователь.
