La firma GreyNoise detectó una campaña de «proxyjacking» que instaló sin permiso una app legítima de venta de ancho de banda en al menos 143 equipos de 34 países. Aprovecha fallas conocidas en NAS D-Link, grabadores Ubiquiti y servidores SAP. (Fuente: BleepingComputer, según GreyNoise)
Una campaña de «proxyjacking» está comprometiendo equipos conectados a internet para revender el ancho de banda de sus dueños, según BleepingComputer, que cita a la empresa de inteligencia de amenazas GreyNoise. Los investigadores la descubrieron mientras analizaban actividad sospechosa en una organización sin identificar, y contabilizaron al menos 143 dispositivos comprometidos en 34 países.
Cómo funciona
El atacante no usa ransomware ni mineros de criptomonedas: instala Pawns.app, una aplicación legítima que permite ganar dinero compartiendo la conexión a internet, sin que los dueños de los equipos lo sepan. Las cuentas de Pawns.app reciben una retribución por permitir que el tráfico de otros usuarios pase por su red, siempre que corra sobre direcciones IP confiables y que no estén bloqueadas. Al instalar la app en muchos sistemas, el atacante probablemente acumuló pagos mayores. Los equipos infectados funcionan como salidas de una red comercial de proxies residenciales.
Qué fallas aprovecha
- D-Link ShareCenter NAS: CVE-2024-3272 y CVE-2024-3273.
- Ubiquiti UniFi Video NVR: CVE-2021-44228, la falla Log4Shell.
- SAP NetWeaver Visual Composer: CVE-2025-31324.
Los investigadores también observaron ataques contra grabadores de video Hikvision y Dahua, aunque no precisaron qué vulnerabilidades se usaron en esos equipos. En algunos casos, los atacantes configuraron autenticación por clave SSH como método de acceso de respaldo.
El riesgo para los dueños
Incluso las redes de proxies legítimas pueden hacer pasar tráfico sospechoso por nodos operados por voluntarios debido a una supervisión insuficiente, lo que puede provocar que se bloquee la dirección IP de quienes participan o que se los asocie con actividades ilegales. El FBI ya había advertido sobre el uso de estas redes para ataques masivos de relleno de credenciales contra plataformas en línea.
Qué hacer
- Mantener actualizados los NAS, grabadores de video y otros equipos expuestos a internet, y usar credenciales fuertes, una configuración segura y acceso restringido a la red.
- Revisar si los equipos tienen software de venta de ancho de banda no autorizado y claves SSH que no reconozcan.
- Evitar descargar software de fuentes no confiables: un programa supuestamente gratuito puede incluir malware que anota el equipo en una red de proxies residenciales.
- GreyNoise ofrece un servicio gratuito, que requiere cuenta, para comprobar si una dirección IP forma parte de un servicio de proxies conocido.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.
Descubre más desde
Suscríbete y recibe las últimas entradas en tu correo electrónico.