黑客劫持 D-Link 与 Ubiquiti 设备，通过合法 App 窃取带宽牟利

当威胁行为者入侵系统后，他们无需安装恶意软件即可利用被攻陷的终端——只需部署合法且正常的软件，便能白手起家，获取本不属于自己的收益。

安全研究机构 GreyNoise 近期发现了一起代理劫持（Proxyjacking）活动，波及数十个国家的数百台设备。

代理劫持

代理劫持是一种攻击方式，攻击者通过劫持设备并将其纳入代理网络。通常，网络罪犯会入侵电脑，安装恶意软件并搭建自己的代理网络，以便日后出租或自用。威胁行为者急需“干净”且未被标记设备和IP地址作为掩护，使得住宅代理——无论是非法的还是合法的——都成了炙手可热的资源。

Latest Videos FromTechRadarWatch full video here:

目前市面上最大的恶意住宅代理服务包括 IPIDEA、NetNut 和 Cloudrouter。这些服务如今要么已完全瓦解，要么严重受阻。但在它们运营期间，曾提供数十万甚至数百万个与家庭互联网连接关联的IP地址（因此得名“住宅IP地址”）。

然而，操作恶意代理并非易事。要将设备纳入网络，威胁行为者必须部署恶意软件，一旦被发现，随即会被杀毒软件标记并隔离。在 GreyNoise 发现的新攻击中，攻击者转而使用了功能相似但合法的App。

研究人员发现，有人正在安装 Pawns.app。这主要是一个奖励平台，允许用户通过完成在线调查和玩游戏赚钱。不过，它过去曾提供带宽共享功能，允许用户通过让商业客户将其互联网流量经由自己的住宅IP地址转发来赚取收入。尽管该应用年初已停用此功能，但似乎旧版本中该功能依然可用。

“自 2026 年起，Pawns.app 不再提供互联网带宽共享服务，”该应用官网上的通知写道。“此功能已停止，不再与 Pawns.app 有任何关联。”但其服务条款中仍然描述部分版本的应用支持流量共享，官网也仍在推广用于带宽变现的 SDK。

攻击 D-Link

显然有人注意到了这一点，并付诸行动。据 GreyNoise 介绍，攻击者的目标是 D-Link ShareCenter NAS 设备、Ubiquiti UniFi Video NVR，以及 SAP NetWeaver Visual Composer，利用的漏洞各不相同：D-Link 是 CVE-2024-3272 和 CVE-2024-3273，Ubiquiti 是 CVE-2021-44228，SAP 则是

CVE-2025-31324。攻击者利用这些漏洞部署了 Pawns.app。GreyNoise 还表示，攻击者也瞄准了 Hikvision 和 Dahua 的 DVR/NVR 设备，但没有说明使用了哪些漏洞。

在文章发布时，研究人员已在全球范围内发现至少 143 台失陷设备，分布在 34 个国家。这些设备上都安装了合法软件，但完全是在用户不知情、未同意的情况下部署的，整个过程属于违法行为。

GreyNoise 警告说：“‘用网络赚钱’是自愿行为，而 proxyjacking 是犯罪。Proxyjacking 指恶意网络行为者将受害设备强行接入代理网络，以此变现其带宽。”

如果你担心自己管理的设备也可能中招，GreyNoise 提供了一项免费服务，可以查询你的 IP 是否与其全球观测网格（Global Observation Grid）有过交互。研究人员表示，这可以作为 proxyjacking 的一个潜在指标。

除了扫描 IP 地址外，企业还应教育员工了解安装免费应用的风险，以及及时给设备打补丁的重要性。同时应在身份验证日志中检测住宅代理 IP 地址，并留意用户认证行为和特征上的异常——不仅是地理位置，还包括设备标识符不匹配、会话标识符异常等。

Via BleepingComputer

---

适合各类预算的最佳杀毒软件

➡️ 阅读我们关于最佳杀毒软件的完整指南
1. 综合最佳：
Bitdefender Total Security
2. 家庭最佳：
Norton 360 with LifeLock
3. 移动端最佳：
McAfee Mobile Security

---