Proxyjacking : des appareils D-Link et Ubiquiti détournés

Une opération de proxyjacking transforme discrètement des équipements de périphérie compromis en noeuds de sortie rémunérés pour un réseau commercial de proxys résidentiels. La société de renseignement sur les menaces GreyNoise a relié la campagne à au moins 143 appareils piratés dans 34 pays.

L'attaquant n'utilise pas de logiciel malveillant maison pour tirer profit de ses victimes. Il installe plutôt Pawns.app, une application légitime de partage de bande passante, sur les systèmes dans lesquels il s'est introduit. Les propriétaires n'ont jamais donné leur accord.

Comment le système rapporte

Pawns.app s'adresse aux personnes qui veulent gagner un peu d'argent avec la capacité inutilisée de leur connexion internet. Les titulaires d'un compte sont payés pour laisser transiter le trafic d'autres utilisateurs par leur connexion. Le service ne les rémunère que si ce trafic passe par des adresses IP de confiance qui ne sont pas bloquées.

Les connexions résidentielles et professionnelles sur de vrais appareils remplissent cette condition. Chaque machine supplémentaire qui fait tourner l'application sous le compte de l'attaquant ajoute de la bande passante à revendre. Déployer le logiciel sur de nombreux systèmes a donc probablement permis à l'opérateur d'empocher davantage.

GreyNoise a découvert la campagne en enquêtant sur une activité suspecte au sein d'une organisation dont elle n'a pas donné le nom. En remontant la piste, les chercheurs sont tombés sur des appareils compromis partout dans le monde.

Les failles derrière les intrusions

Selon GreyNoise, l'attaquant a exploité plusieurs vulnérabilités connues pour s'introduire dans des équipements de périphérie et y installer Pawns.app :

CVE-2024-3272 et CVE-2024-3273 dans les NAS D-Link ShareCenter
CVE-2021-44228 dans Ubiquiti UniFi Video NVR
CVE-2025-31324 dans SAP NetWeaver Visual Composer

Les chercheurs ont aussi observé l'attaquant s'en prendre à des enregistreurs DVR et NVR de Hikvision et Dahua. Ils n'ont pas précisé quelles failles avaient été utilisées contre ces systèmes.

Dans certains cas, l'attaquant a mis en place une authentification SSH par clé pour se ménager un second accès à l'appareil. Un système compromis peut ainsi rester joignable même après la fermeture du point d'entrée initial.

Pourquoi les victimes devraient s'en soucier

La perte d'un peu de bande passante n'est pas le seul prix à payer. Même les réseaux de proxys légitimes peuvent finir par faire transiter du trafic suspect par les noeuds exploités par des volontaires, car le contrôle de ce trafic est souvent faible. Les utilisateurs dont la connexion y participe peuvent voir leurs adresses IP bloquées. Ils peuvent aussi être accusés d'avoir pris part à des activités illégales menées par quelqu'un d'autre via leur ligne.

Le FBI a déjà averti que des réseaux de ce type avaient servi à des attaques par credential stuffing à grande échelle contre des plateformes en ligne.

Ce que les utilisateurs peuvent faire

GreyNoise propose un service gratuit pour vérifier si une adresse IP appartient à un service de proxy connu, légitime ou "gris". Il faut un compte pour l'utiliser.

Les conseils habituels s'appliquent aussi. Mieux vaut éviter les logiciels provenant de sources douteuses, car certains outils prétendument gratuits contiennent des logiciels malveillants qui inscrivent les appareils à des réseaux de proxys résidentiels. Les attaquants ciblant régulièrement des failles connues dans le matériel connecté à internet, maintenir à jour les NAS, les enregistreurs vidéo et les autres systèmes exposés réduit considérablement le risque de compromission.

Les correctifs ne suffisent pas pour autant. Des identifiants robustes, une configuration sécurisée et des restrictions d'accès réseau contribuent tous à combler les brèches dont dépendent les campagnes de ce genre.

Notre analyse

Cette campagne rappelle que les vieilles failles sur du matériel oublié rapportent encore. La liste des vulnérabilités exploitées comprend Log4Shell, qui date de 2021, et deux failles de NAS D-Link de 2024, aux côtés d'une faille SAP NetWeaver. L'opérateur semble donc avoir visé les systèmes exposés les plus faciles d'accès, plutôt que des cibles précises.

Elle s'inscrit aussi dans une tendance plus large où des équipements de périphérie compromis sont mis au service du profit ou des opérations de quelqu'un d'autre. Le recours à une application légitime rend l'abus plus difficile à repérer, puisque les outils de sécurité risquent de ne pas la signaler comme malveillante.

Reste à voir si les services de partage de bande passante renforceront leurs contrôles des comptes en réaction. Les organisations devraient aussi vérifier si leurs propres plages d'adresses IP apparaissent dans des réseaux de proxys qu'elles n'ont jamais rejoints.