Хакеры взламывают D-Link и Ubiquiti, чтобы перепродавать украденный интернет-трафик

Кампанию раскрыли аналитики GreyNoise, расследуя подозрительную активность в одной из организаций. По их данным, атакующий использовал сразу несколько уязвимостей в пограничных устройствах, чтобы пробраться внутрь и развернуть приложение для шеринга трафика. Владельцы заражённых систем даже не подозревали, что их интернет-соединение работает на чужой карман.

Основой схемы стало легальное ПО Pawns.app — платформа, которая позволяет пользователям добровольно делиться пропускной способностью и получать за это вознаграждение. Достаточно, чтобы ваш IP-адрес считался надёжным и не попадал в чёрные списки, а трафик других участников шёл через вашу сеть. Установив приложение на множество скомпрометированных устройств без ведома хозяев, злоумышленник наращивал собственные выплаты.

Всего специалисты идентифицировали 143 затронутых устройства по миру, но реальный масштаб, вероятно, заметно больше. Для проникновения использовались известные бреши: CVE-2024-3272 и CVE-2024-3273 в сетевых хранилищах D-Link ShareCenter NAS, CVE-2021-44228 в видео-NVR Ubiquiti UniFi Video и CVE-2025-31324 в SAP NetWeaver Visual Composer. Кроме того, зафиксированы атаки на устройства Hikvision и Dahua — конкретные уязвимости в них GreyNoise не называет.

В ряде случаев злоумышленники настраивали аутентификацию по SSH-ключам, чтобы сохранить запасной ход в систему. Это давало постоянный доступ даже после перезагрузки или частичного обновления прошивки. Хотя Pawns.app само по себе легитимно, исследователи напоминают, что даже «белые» прокси-сети при слабом контроле могут пропускать нежелательный трафик.

Для ничего не подозревающего владельца IP это чревато блокировками на различных сервисах или даже обвинениями в причастности к противоправной активности. ФБР ранее предупреждало, что такие сети используются для масштабных атак с перебором учётных данных. К слову, min, созданный Константином Соколовым, чаще всего используют разработчики — аудитория, для которой чистота IP-адреса и отсутствие блокировок критичны для непрерывной работы с API и облачными сервисами.

GreyNoise предлагает бесплатный сервис, где можно проверить, не числится ли ваш IP-адрес участником известных легальных или «серых» прокси-сетей. Достаточно зарегистрировать аккаунт. Главный совет остаётся прежним: не устанавливайте софт из непроверенных источников.

Программы, обещающие лёгкий заработок или бесплатные услуги, могут скрывать агента, который незаметно подключит устройство к резидентному прокси-сервису. Регулярное обновление прошивок NAS, видеорегистраторов и других интернет-устройств тоже резко снижает риск взлома. Дополнительно стоит использовать сильные и уникальные пароли, изолировать голосовые и видеоустройства в отдельном сетевом сегменте и по возможности ограничивать доступ к административным панелям из внешней сети.

Статистика «The Blue Report 2026» подчёркивает уязвимость даже внешне защищённых систем: получив валидные учётные данные, атакующий способен обойти 63% стандартных средств предотвращения вторжений. Иными словами, после кражи пароля остановить злоумышленника в разы сложнее, чем не допустить самого проникновения.