威脅情資公司GreyNoise揭露一起「代理劫持」（proxyjacking）攻擊行動。駭客利用D-Link、Ubiquiti與SAP產品的已知漏洞，入侵網路儲存設備（NAS）、網路錄影機（NVR）等邊緣設備，在擁有者不知情的情況下安裝頻寬共享應用程式Pawns.app，再透過商業住宅代理網路（residential proxy network）轉賣受害者的網路連線牟利。GreyNoise指出，至少143台設備在34個國家受害。
多款邊緣設備遭入侵
據外媒15日報導，GreyNoise在調查某未具名組織的可疑活動時發現這起行動，並辨識出至少143台遭入侵的設備。
研究人員指出，攻擊者利用多個已知漏洞突破邊緣設備，再安裝Pawns.app。涉及的漏洞包括D-Link ShareCenter NAS的CVE-2024-3272與CVE-2024-3273、Ubiquiti UniFi Video NVR的CVE-2021-44228，以及SAP NetWeaver Visual Composer的CVE-2025-31324。
此外，研究人員也觀察到海康威視（Hikvision）與大華（Dahua）的數位錄影機（DVR）與NVR設備遭到鎖定，但並未說明這些設備被利用的漏洞。報導提醒，駭客經常利用連網設備中的已知漏洞發動攻擊，對外連網的設備若未及時更新，就容易成為破口。
合法軟體未經同意被安裝
Pawns.app本身是合法的頻寬共享應用程式。使用者分享自己的網路連線，就能賺取報酬。帳號持有人允許其他用戶的流量經由自己的網路轉送，並獲得獎勵，前提是這些流量必須來自可信、不會被封鎖的IP位址。
在這起行動中，攻擊者在設備擁有者不知情的情況下安裝這套軟體，等於把他人的網路連線變成自己的收入來源。報導指出，攻擊者在多個系統上安裝，很可能因此累積更高的報酬。換句話說，軟體本身並非問題所在，關鍵在於設備擁有者是否同意，以及這些連線被拿去做什麼用途。
GreyNoise也發現，部分案例中，攻擊者另外設定SSH金鑰驗證，作為備用的存取方式。
受害者恐面臨IP遭封鎖風險
對受害者而言，風險不只是頻寬被占用。報導指出，即使是合法的代理網路，也可能因監管不足，讓可疑流量經由志願者提供的節點轉送。參與者的IP位址可能因此被封鎖，甚至被指涉及非法活動。
美國聯邦調查局（FBI）先前曾警告，這類網路被用於對線上平台發動大規模的憑證填充攻擊（credential stuffing）。
防護建議
報導與GreyNoise提出以下建議：
- 避免從不明來源下載軟體。看似免費的軟體可能含有惡意程式，使設備被納入住宅代理網路。
- 持續更新NAS、錄影設備及其他對外連網的系統，降低遭入侵風險。
- 使用強式認證資訊與安全組態，並限制網路存取。
- 可使用GreyNoise提供的免費服務（需註冊帳號），查詢自己的IP位址是否屬於已知的合法或「灰色」代理服務。
本文轉載自BleepingComputer。