Proxyjacking-Kampagne kapert D-Link- und Ubiquiti-Geräte

Eine Proxyjacking-Operation macht kompromittierte Edge-Geräte unbemerkt zu bezahlten Exit-Knoten für ein kommerzielles Residential-Proxy-Netzwerk. Das Threat-Intelligence-Unternehmen GreyNoise bringt die Kampagne mit mindestens 143 gekaperten Geräten in 34 Ländern in Verbindung.

Um mit den Opfern Geld zu verdienen, setzt der Angreifer keine eigene Schadsoftware ein. Stattdessen installiert er Pawns.app, eine legitime Anwendung zum Teilen von Bandbreite, auf den Systemen, in die er eingedrungen ist. Die Besitzer haben dem nie zugestimmt.

So zahlt sich die Masche aus

Pawns.app richtet sich an Menschen, die mit ihrer ungenutzten Internetkapazität ein wenig Geld verdienen möchten. Kontoinhaber werden dafür bezahlt, dass sie den Datenverkehr anderer Nutzer über ihren Anschluss laufen lassen. Vergütet wird das nur, wenn der Verkehr über vertrauenswürdige IP-Adressen läuft, die nicht gesperrt sind.

Privat- und Geschäftsanschlüsse auf echten Geräten erfüllen genau diese Voraussetzung. Jedes zusätzliche Gerät, auf dem die App unter dem Konto des Angreifers läuft, bringt mehr Bandbreite zum Verkaufen. Die Software auf möglichst viele Systeme zu verteilen, dürfte dem Betreiber also höhere Auszahlungen beschert haben.

GreyNoise stieß auf die Kampagne, als das Unternehmen verdächtige Aktivitäten bei einer nicht genannten Organisation untersuchte. Die Spur führte die Forscher zu kompromittierten Geräten auf der ganzen Welt.

Die Schwachstellen hinter den Einbrüchen

Laut GreyNoise nutzte der Angreifer mehrere bekannte Sicherheitslücken, um auf Edge-Geräte zu gelangen und die Pawns.app-Software zu installieren:

• CVE-2024-3272 und CVE-2024-3273 in D-Link-ShareCenter-NAS-Geräten
• CVE-2021-44228 in Ubiquiti UniFi Video NVR
• CVE-2025-31324 in SAP NetWeaver Visual Composer

Die Forscher beobachteten außerdem, wie der Angreifer DVR- und NVR-Geräte von Hikvision und Dahua ins Visier nahm. Welche Schwachstellen dabei ausgenutzt wurden, gaben sie nicht an.

In einigen Fällen richtete der Angreifer eine SSH-Schlüsselauthentifizierung als zweiten Weg zurück ins Gerät ein. Ein kompromittiertes System bleibt damit auch dann erreichbar, wenn der ursprüngliche Zugang längst geschlossen ist.

Warum das die Opfer etwas angeht

Ein bisschen verlorene Bandbreite ist nicht der einzige Schaden. Selbst legitime Proxy-Netzwerke können verdächtigen Datenverkehr über die Knoten leiten, die Freiwillige betreiben, denn die Kontrolle dieses Verkehrs ist oft lückenhaft. Nutzern, deren Anschlüsse daran beteiligt sind, droht die Sperrung ihrer IP-Adressen. Zudem können sie in Verdacht geraten, an illegalen Aktivitäten beteiligt zu sein, die jemand anderes über ihre Leitung abgewickelt hat.

Das FBI hat bereits davor gewarnt, dass solche Netzwerke für groß angelegte Credential-Stuffing-Angriffe auf Online-Plattformen genutzt wurden.

Was Nutzer tun können

GreyNoise bietet einen kostenlosen Dienst an, mit dem sich prüfen lässt, ob eine IP-Adresse zu einem bekannten legitimen oder "grauen" Proxy-Dienst gehört. Dafür ist ein Konto nötig.

Auch die üblichen Ratschläge gelten hier. Software aus nicht vertrauenswürdigen Quellen sollte man meiden, denn manche angeblich kostenlosen Programme enthalten Schadsoftware, die Geräte bei Residential-Proxy-Netzwerken anmeldet. Da Angreifer gezielt bekannte Lücken in internetfähiger Hardware ausnutzen, senkt es das Risiko einer Kompromittierung erheblich, NAS-Geräte, Videorekorder und andere aus dem Netz erreichbare Systeme auf dem neuesten Stand zu halten.

Patchen allein reicht allerdings nicht. Starke Zugangsdaten, eine sichere Konfiguration und ein eingeschränkter Netzwerkzugriff tragen alle dazu bei, die Lücken zu schließen, auf die Kampagnen wie diese angewiesen sind.

Unsere Einschätzung

Die Kampagne zeigt einmal mehr: Alte Fehler auf vergessener Hardware lohnen sich immer noch. Auf der Liste der ausgenutzten Lücken stehen Log4Shell aus dem Jahr 2021 und zwei D-Link-NAS-Probleme aus 2024, dazu ein Fehler in SAP NetWeaver. Das deutet darauf hin, dass der Betreiber nicht auf bestimmte Ziele aus war, sondern sich die am leichtesten erreichbaren offenen Systeme vorgenommen hat.

Es passt auch in ein größeres Muster, bei dem kompromittierte Edge-Geräte für den Profit oder die Operationen anderer eingespannt werden. Weil eine legitime App zum Einsatz kommt, ist der Missbrauch schwerer zu erkennen, denn Sicherheitswerkzeuge stufen sie womöglich nicht als schädlich ein.

Es lohnt sich zu beobachten, ob Dienste zum Teilen von Bandbreite als Reaktion ihre Kontoprüfungen verschärfen. Organisationen sollten zudem prüfen, ob ihre eigenen IP-Bereiche in Proxy-Netzwerken auftauchen, denen sie nie beigetreten sind.