Una vasta operazione di proxyjacking ha compromesso centinaia di dispositivi di rete, sfruttando vulnerabilità note per rivendere la larghezza di banda internet delle vittime. Le nuove fonti rivelano dettagli aggiuntivi sul meccanismo e sui rischi associati.
Una campagna di proxyjacking di notevole portata ha preso di mira dispositivi di rete domestici e aziendali, tra cui prodotti di D-Link e Ubiquiti, con l'obiettivo di rivendere la larghezza di banda internet delle vittime attraverso una rete di proxy residenziali commerciali. L'operazione, inizialmente scoperta dalla società di threat intelligence GreyNoise, ha interessato dispositivi in almeno 34 nazioni, con un conteggio iniziale di oltre 140 sistemi compromessi, un numero che le nuove fonti confermano essere salito a 143 unità.
Gli aggressori hanno installato un'applicazione legittima chiamata Pawns.app sui dispositivi delle vittime senza la loro autorizzazione. Pawns.app è un servizio che consente agli utenti di guadagnare denaro condividendo la propria connessione internet. I titolari di account Pawns.app vengono ricompensati per consentire il traffico di altri utenti attraverso la loro rete, a condizione che questo provenga da indirizzi IP considerati affidabili e non bloccati. Installando l'applicazione su più sistemi compromessi, l'attaccante ha potuto accumulare guadagni maggiori, espandendo la propria infrastruttura per nascondere traffico malevolo dietro connessioni internet ordinarie.
Le nuove informazioni evidenziano che le varianti a riga di comando di Pawns.app accettano credenziali di account e informazioni sul dispositivo al momento dell'esecuzione, permettendo a un installatore di associare la larghezza di banda di un dispositivo altrui a un account controllato dall'operatore. IPRoyal identifica Pawns.app come un partner diretto per l'approvvigionamento di proxy residenziali. L'abuso riguarda il dispiegamento non autorizzato di software legittimo, piuttosto che indicare che i fornitori abbiano diretto la campagna.
Secondo i ricercatori di GreyNoise, gli aggressori hanno sfruttato diverse vulnerabilità note per penetrare nei dispositivi perimetrali e installare il software Pawns.app. Tra le falle di sicurezza identificate figurano:
Sono stati osservati anche tentativi di attacco contro dispositivi DVR/NVR di Hikvision e Dahua, sebbene le vulnerabilità specifiche utilizzate per questi sistemi non siano state ancora dettagliate nelle scoperte iniziali.
In alcuni casi, gli attaccanti hanno anche configurato l'autenticazione tramite chiave SSH come metodo di accesso di riserva, rendendo più persistente la loro presenza sui sistemi compromessi e creando un ulteriore percorso di accesso oltre all'applicazione proxy installata.
L'uso di reti proxy residenziali, anche quelle legittime, presenta dei rischi intrinseci. Un'insufficiente supervisione può portare al transito di traffico sospetto attraverso i nodi gestiti dagli utenti, esponendo questi ultimi a potenziali blocchi del loro indirizzo IP o ad accuse di coinvolgimento in attività illecite. A differenza delle VPN convenzionali o delle infrastrutture di hosting, gli indirizzi di uscita residenziali possono assomigliare a connessioni di utenti legittimi, indebolendo le difese che dipendono dalla reputazione dell'IP o dalle anomalie geografiche.
L'FBI aveva già in precedenza lanciato un avvertimento sull'utilizzo di tali reti per condurre attacchi su larga scala di credential stuffing contro piattaforme online. L'indagine di GreyNoise è seguita a un incidente separato scoperto durante una dimostrazione del prodotto. Un'organizzazione aveva identificato indirizzi IP etichettati come malevoli nei log di accesso di Microsoft Entra ID, nonostante questi indirizzi apparissero residenziali e geograficamente coerenti con l'attività prevista degli utenti. L'indagine iniziale ha stabilito che gli indirizzi appartenevano a reti di proxy residenziali.
Il rischio si aggrava quando un utente legittimo condivide un indirizzo IP pubblico con traffico malevolo non correlato, poiché un dispositivo dietro quella connessione partecipa a una rete proxy. Un segnale più forte è emerso quando sono stati riscontrati più utenti che si autenticavano tramite lo stesso indirizzo residenziale, confermando un'intrusione seria.
La tecnica del proxyjacking ha precedenti consolidati. Microsoft, nella sua indagine su Midnight Blizzard, ha documentato aggressori che utilizzavano proxy residenziali distribuiti per mascherare attacchi di password spraying e accessi successivi. Indirizzi IP in rapida evoluzione hanno reso gli indicatori basati sull'infrastruttura tradizionale insufficienti per un rilevamento affidabile. Separamente, Sysdig ha documentato il proxyjacking abilitato da Log4j nel 2023, mostrando aggressori che installavano proxyware invece di miner di criptovalute. Questa distinzione è operativamente significativa: la monetizzazione della larghezza di banda di rete può produrre un'attività della CPU meno appariscente rispetto al mining, permettendo al software non autorizzato di sfuggire al monitoraggio focalizzato sulle risorse.
Per mitigare il rischio di cadere vittima di campagne come questa, gli esperti di sicurezza raccomandano diverse azioni:
GreyNoise offre un servizio gratuito che permette agli utenti di verificare se il proprio indirizzo IP è associato a servizi proxy noti, legittimi o meno. La consapevolezza e l'adozione di buone pratiche di sicurezza rimangono la prima linea di difesa contro queste minacce in continua evoluzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
