Proxyjacking: secuestran dispositivos D-Link y Ubiquiti
Una operación de proxyjacking está convirtiendo de forma silenciosa dispositivos perimetrales comprometidos en nodos de salida de pago para una red comercial de proxies residenciales. La empresa de inteligencia de amenazas GreyNoise ha vinculado la campaña con al menos 143 dispositivos secuestrados en 34 países.
El atacante no recurre a malware propio para sacar dinero de las víctimas. En su lugar, instala Pawns.app, una aplicación legítima para compartir ancho de banda, en los sistemas en los que ha logrado entrar. Los propietarios nunca dan su consentimiento.
Cómo se obtiene el beneficio
Pawns.app está pensada para quienes quieren ganar algo de dinero con la capacidad de internet que les sobra. Los titulares de las cuentas cobran por dejar que el tráfico de otros usuarios pase por su conexión. El servicio solo lo remunera cuando ese tráfico circula por direcciones IP de confianza que no estén bloqueadas.
Las conexiones residenciales y empresariales en dispositivos reales cumplen ese requisito. Cada equipo adicional que ejecuta la aplicación con la cuenta del atacante suma ancho de banda que vender, así que repartir el software entre muchos sistemas probablemente se tradujo en mayores ganancias para el operador.
GreyNoise descubrió la campaña mientras investigaba actividad sospechosa en una organización cuyo nombre no ha revelado. Al seguir el rastro, los investigadores dieron con dispositivos comprometidos en todo el mundo.
Las vulnerabilidades detrás de las intrusiones
Según GreyNoise, el atacante aprovechó varios fallos conocidos para acceder a dispositivos perimetrales e instalar el software de Pawns.app:
- CVE-2024-3272 y CVE-2024-3273 en dispositivos NAS D-Link ShareCenter
- CVE-2021-44228 en Ubiquiti UniFi Video NVR
- CVE-2025-31324 en SAP NetWeaver Visual Composer
Los investigadores también observaron al atacante apuntando a grabadores DVR y NVR de Hikvision y Dahua. No precisaron qué vulnerabilidades se emplearon contra esos sistemas.
En algunos casos, el atacante configuró la autenticación SSH mediante clave como segunda vía para volver a entrar en el dispositivo. Esto significa que un sistema comprometido puede seguir siendo accesible incluso después de cerrar el punto de entrada original.
Por qué debería preocupar a las víctimas
Perder algo de ancho de banda no es el único coste. Incluso las redes de proxies legítimas pueden acabar enrutando tráfico sospechoso a través de los nodos que gestionan los voluntarios, porque el control sobre ese tráfico suele ser escaso. Los usuarios cuyas conexiones participan pueden ver bloqueadas sus direcciones IP. También pueden ser acusados de estar implicados en actividades ilegales que otra persona llevó a cabo a través de su línea.
El FBI ya ha advertido en otras ocasiones de que redes de este tipo se han utilizado para ataques de credential stuffing a gran escala contra plataformas en línea.
Qué pueden hacer los usuarios
GreyNoise ofrece un servicio gratuito para comprobar si una dirección IP pertenece a un servicio de proxy conocido, ya sea legítimo o "gris". Es necesario registrarse.
Aquí también valen los consejos habituales. Conviene evitar el software de fuentes no fiables, ya que algunas herramientas supuestamente gratuitas incluyen malware que da de alta los dispositivos en redes de proxies residenciales. Como los atacantes van a por fallos conocidos en hardware conectado a internet de forma sistemática, mantener actualizados los NAS, los grabadores de vídeo y otros sistemas expuestos reduce considerablemente el riesgo de que los comprometan.
Aun así, parchear no basta. Unas credenciales robustas, una configuración segura y la limitación del acceso a la red ayudan a cerrar los huecos de los que dependen campañas como esta.
Nuestra opinión
La campaña recuerda que los fallos antiguos en hardware olvidado siguen siendo rentables. La lista de vulnerabilidades explotadas incluye Log4Shell, de 2021, y dos problemas de los NAS de D-Link de 2024, junto a un fallo de SAP NetWeaver. Todo apunta a que el operador fue a por los sistemas expuestos que le resultaban más fáciles de alcanzar, no a por objetivos concretos.
También encaja en una tendencia más amplia de dispositivos perimetrales comprometidos que se ponen a trabajar en beneficio o para las operaciones de otros. El uso de una aplicación legítima hace que el abuso sea más difícil de detectar, ya que las herramientas de seguridad pueden no marcarla como maliciosa.
Habrá que ver si los servicios para compartir ancho de banda endurecen la verificación de cuentas como respuesta. Las organizaciones también deberían comprobar si sus propios rangos de IP aparecen en redes de proxies a las que nunca se unieron.