دستگاه های D-Link و Ubiquiti توسط هکرها ربوده شدند تا پهنای باند سرقت شده را غارت کنند

مهاجمان از دستگاه‌های آسیب‌پذیر برای نصب نرم‌افزار اشتراک‌گذاری پهنای باند قانونی و ربودن اتصالات اینترنتی سوء استفاده کردند.

سیستم‌های در معرض خطر به طور مخفیانه به شبکه‌های پروکسی اضافه شدند و امکان فعالیت مجرمانه ناشناس را فراهم کردند

این کمپین حداقل 143 دستگاه را در 34 کشور تحت تأثیر قرار داد و نقص های وصله و کنترل دسترسی را برجسته کرد. وقتی عوامل تهدید وارد یک سیستم می‌شوند، برای استفاده از نقطه پایانی در معرض خطر، نیازی به نصب بدافزار ندارند - آنها می‌توانند نرم‌افزار کاملا قانونی و معمولی را نصب کنند و همچنان با حقوقی که دریافت نکرده‌اند، کنار می‌روند.

یک کمپین سرقت پروکسی که اخیرا توسط محققان امنیتی GreyNoise مشاهده شد، صدها دستگاه را در ده‌ها کشور تحت تأثیر قرار داد.

جک پروکسی

Proxyjacking نوعی حمله است که در آن یک دستگاه ربوده شده و در یک شبکه پروکسی جذب می شود. معمولا مجرمان سایبری وارد رایانه می‌شوند، بدافزار نصب می‌کنند و یک شبکه پروکسی برای خود ایجاد می‌کنند که بعدا می‌توانند آن را اجاره کنند یا خودشان استفاده کنند. عوامل تهدید همیشه به دستگاه‌ها و آدرس‌های IP «تمیز» و بدون پرچم نیاز دارند که بتوانند در پشت آن پنهان شوند و خدمات پراکسی‌های مسکونی - هم مخرب و هم قانونی - را به شدت تحت تعقیب قرار دهند.

برخی از بزرگترین پراکسی های مخرب مسکونی موجود عبارتند از IPIDEA، NetNut و Cloudrouter. همه آنها اکنون یا به طور کامل برچیده شده اند، یا به شدت مختل شده اند، اما در حالی که عملیاتی بودند، صدها هزار (گاهی میلیون ها) آدرس IP مرتبط با اتصال اینترنتی مورد استفاده در یک خانواده را ارائه کردند (از این رو نام "آدرس IP مسکونی" نامیده می شود).

اما پراکسی های مخرب کار سختی است. برای جذب یک دستگاه در شبکه، عامل تهدید باید بدافزاری را مستقر کند که به محض شناسایی، توسط محصولات آنتی ویروس پرچم گذاری شده و قرنطینه می شود. در جدیدترین حملات که توسط GreyNoise مشاهده شد، شخصی به جای آن به سراغ یک برنامه قانونی با عملکرد مشابه رفت.

محققان دریافتند شخصی که Pawns.app را نصب می‌کند، در درجه اول یک پلتفرم پاداش که به کاربران اجازه می‌دهد با تکمیل نظرسنجی‌های آنلاین و انجام بازی‌ها درآمد کسب کنند. با این حال، قبلا یک ویژگی اشتراک پهنای باند را ارائه می داد که به کاربران اجازه می داد با اجازه دادن به مشتریان تجاری برای هدایت ترافیک اینترنت خود از طریق آدرس IP مسکونی کاربر، درآمد کسب کنند. در ابتدای سال، برنامه این ویژگی را متوقف کرد، اما به نظر می‌رسد که هنوز برای نسخه‌های قدیمی‌تر کار می‌کند.

در اطلاعیه ای در وب سایت این برنامه آمده است: «از سال 2026، Pawns.app اشتراک پهنای باند اینترنت را ارائه نمی دهد. "این ویژگی متوقف شد و دیگر با Pawns.app مرتبط نیست." اما شرایط استفاده برنامه همچنان اشتراک گذاری ترافیک را در برخی از نسخه های برنامه توصیف می کند، و وب سایت تجاری آن همچنان یک SDK را برای کسب درآمد از پهنای باند تبلیغ می کند.

هدف قرار دادن دی لینک

ظاهرا یک نفر این را برداشت و سر کار رفت. طبق گفته GreyNoise، آنها دستگاه های D-Link ShareCenter NAS، Ubiquiti UniFi Video NVR و همچنین SAP NetWeaver Visual Composers را هدف قرار دادند. اینها حاوی آسیب‌پذیری‌های مختلفی بودند: CVE-2024-3272 و CVE-2024-3273 برای D-Link، CVE-2021-44228 برای Ubiquiti، و

CVE-2025-31324 برای SAP، که عامل تهدید از آن برای استقرار Pawns.app استفاده کرد. GreyNoise همچنین گفت که مهاجمان دستگاه‌های Hikvision و Dahua DVR/NVR را هدف قرار داده‌اند، اما نگفتند که از کدام آسیب‌پذیری‌ها علیه این دستگاه‌ها استفاده کرده‌اند.

در لحظه انتشار، محققان حداقل 143 دستگاه در معرض خطر را در سراسر جهان شناسایی کردند که در 34 کشور مختلف قرار داشتند. در حالی که همه آن‌ها نرم‌افزار قانونی نصب کرده بودند، بدون اطلاع یا رضایت آن‌ها به کار گرفته شد و کل آزمایش را غیرقانونی کرد.

GreyNoise هشدار داد: "در حالی که "در اینترنت خود کسب درآمد کنید" داوطلبانه است، جک پروکسی یک جرم است. جک پروکسی زمانی است که یک MCA (بازیگر سایبری مخرب) دستگاه های قربانی را برای کسب درآمد از پهنای باند آنها به شبکه های پراکسی وادار می کند."

اگر نگران هستید که شخصی کاری مشابه با دستگاه تحت کنترل شما انجام داده باشد، GreyNoise یک سرویس رایگان ایجاد کرده است که به شما امکان می دهد بررسی کنید که آیا IP شما با شبکه مشاهده جهانی آن تعامل دارد یا خیر. محققان گفتند که می تواند به عنوان یک شاخص بالقوه برای جک پروکسی عمل کند.

به غیر از اسکن آدرس‌های IP، کسب‌وکارها باید کارکنان را در مورد خطرات مرتبط با نصب برنامه‌های رایگان و همچنین در مورد اهمیت وصله نگه داشتن دستگاه‌ها آموزش دهند. آنها همچنین باید آدرس‌های IP پراکسی مسکونی را در گزارش‌های احراز هویت، و همچنین انحرافات در رفتار و ویژگی‌های احراز هویت کاربر فراتر از موقعیت جغرافیایی، مانند عدم تطابق در شناسه‌های دستگاه یا شناسه‌های جلسه، شناسایی کنند.

از طریق Bleeping Computer