Angreifer machen kompromittierte Edge-Geräte zu Knoten des Residential-Proxy-Netzes Pawns.app

Angreifer haben mindestens 143 internetfähige Geräte in 34 Ländern kompromittiert und deren Bandbreite über das Residential-Proxy-Netzwerk Pawns.app genutzt, laut einer am 15. Oktober 2026 veröffentlichten Untersuchung von GreyNoise.

Die Zahl bezieht sich auf Geräte, nicht auf einzelne Personen oder Organisationen. Der Beginn der Kampagne wurde nicht angegeben.

Pawns.app ist eine legitime Anwendung zur Bandbreitenfreigabe, die Nutzer bezahlt, die freiwillig zulassen, dass Datenverkehr von Drittanbietern über ihre Internetverbindung läuft. Bei dieser Operation wurde die Software jedoch ohne Zustimmung der Geräteeigentümer installiert. Der Einsatz auf zahlreichen kompromittierten Systemen würde es dem Betreiber ermöglichen, Auszahlungen zu kassieren, während er die Konnektivität und die vertrauenswürdigen IP-Adressen der Opfer nutzt.

GreyNoise hat die Aktivität Berichten zufolge bei der Analyse verdächtigen Datenverkehrs in einer nicht genannten Organisation entdeckt. In einigen Fällen richtete der Angreifer außerdem eine SSH-Schlüsselauthentifizierung ein, die einen zusätzlichen Weg bietet, erneut Zugriff zu erlangen.

Vier bekannte Schwachstellen ermöglichten den ersten Zugriff

Die berichteten Einbrüche nutzten Schwachstellen in älteren D-Link-Speichergeräten, einer Komponente von SAP NetWeaver und einer Software, die der Artikel Ubiquiti-UniFi-Video-NVR-Systemen zuordnet. Alle vier Schwachstellen stehen im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der US-Behörde Cybersecurity and Infrastructure Security Agency.

D-Link-NAS-Geräte am Ende ihres Lebenszyklus

Zwei aus der Ferne ausnutzbare Schwachstellen betreffen den Endpunkt /cgi-bin/nas_sharing.cgi bei D-Link-Produkten:

• CVE-2024-3272, CVSS 9.8, legt über das Argument user mit dem Wert messagebus fest einprogrammierte Zugangsdaten offen.
• CVE-2024-3273, CVSS 7.3, ermöglicht über das Argument system eine Befehlsinjektion.

Die NVD-Beschreibungen nennen die Geräte DNS-320L, DNS-325, DNS-327L und DNS-340L bis einschließlich 20240403. Die zugehörigen Produktdaten führen außerdem DNS-120, DNR-202L, DNS-315L, DNS-320 und DNS-320LW auf. Die einzige dort aufgeführte exakte Firmware-Version ist die Firmware 1.01.0702.2013 für DNS-320L.

Für beide Schwachstellen existieren öffentliche Exploits. Die betroffenen Produkte waren bereits nicht mehr unterstützt, als die Schwachstellen vergeben wurden. CISA fordert Betreiber auf, alle zugehörigen Hardware-Revisionen mit Lebensende oder Ende des Supports gemäß den Anweisungen von D-Link außer Betrieb zu nehmen und zu ersetzen.

Beide CVEs wurden am 11. April 2024 in den KEV-Katalog aufgenommen. Die Behebungsfrist für US-Bundesbehörden war der 2. Mai 2024.

Log4Shell laut Berichten gegen Ubiquiti-NVRs eingesetzt

Der Kampagnenbericht bringt CVE-2021-44228, allgemein als Log4Shell bekannt, mit Ubiquiti-UniFi-Video-NVR-Geräten in Verbindung. Der NVD-Eintrag bestätigt die zugrunde liegende Apache-Log4j-Schwachstelle, nennt jedoch kein Ubiquiti-Produkt und belegt diese Zuordnung daher nicht eigenständig.

CVE-2021-44228 erlaubt es einem Angreifer, der protokollierte Daten oder Parameter kontrolliert, Codeausführung über vom Angreifer kontrollierte LDAP- oder andere JNDI-Endpunkte auszulösen, wenn die Ersetzung von Nachrichten-Lookups aktiviert ist. Sie betrifft speziell log4j-core. log4net, log4cxx oder andere Projekte der Apache Logging Services sind nicht betroffen.

Die NVD-Beschreibung umfasst Log4j2 von 2.0-beta9 bis 2.15.0, ausgenommen die Sicherheitsversionen 2.12.2, 2.12.3 und 2.3.1. Laut Beschreibung hat 2.15.0 das Verhalten standardmäßig deaktiviert, während 2.16.0, 2.12.2, 2.12.3 und 2.3.1 die Funktion entfernt haben. Davon unabhängig führt die NVD-Produktliste Apache-Log4j-Versionen unterhalb von 2.3.1 auf.

CISA nahm die Schwachstelle am 10. Dezember 2021 in den KEV-Katalog auf und legte den 24. Dezember 2021 als Frist für Bundesbehörden fest. Die Behörde verzeichnet den Einsatz in Ransomware-Angriffen und verlangt, dass betroffene Bundesressourcen aktualisiert oder aus den Netzen der Behörden entfernt werden, sofern Updates vorliegen. Übergangsmaßnahmen nach ED 22-02 sind nur bis zur Verfügbarkeit von Updates akzeptabel.

SAP NetWeaver Visual Composer

CVE-2025-31324 ist eine Schwachstelle mit CVSS 10 im SAP NetWeaver Visual Composer Metadata Uploader. Eine unzureichende Berechtigungsprüfung erlaubt es einem nicht authentifizierten Angreifer, potenziell schädliche ausführbare Binärdateien hochzuladen, wodurch Vertraulichkeit, Integrität und Verfügbarkeit des Host-Systems gefährdet sind.

Die NVD-Produktliste nennt SAP NetWeaver 7.50. CISA nahm die Schwachstelle am 29. April 2025 in den KEV-Katalog auf, mit einer Behebungsfrist für Bundesbehörden bis zum 20. Mai 2025, und vermerkt den Einsatz in Ransomware-Kampagnen. CISA weist Behörden an, Herstellermaßnahmen anzuwenden, die einschlägigen Vorgaben der BOD 22-01 für Cloud-Dienste zu befolgen oder das Produkt außer Betrieb zu nehmen, falls keine Maßnahmen verfügbar sind.

GreyNoise hat laut Berichten außerdem Angriffe auf DVR- und NVR-Geräte von Hikvision und Dahua beobachtet. Welche Schwachstellen gegen diese Geräte eingesetzt wurden, ist im Bericht jedoch nicht genannt.

Warum Proxyjacking mehr als nur die Bandbreite betrifft

Ein unautorisierter Proxy-Knoten kann Datenverkehr weiterleiten, der von nicht zusammenhängenden Kunden des Proxy-Dienstes erzeugt wird. Der Gerätebesitzer kann dadurch einen höheren Bandbreitenverbrauch, Schäden an seiner IP-Reputation oder Zugriffssperren durch Online-Dienste bemerken. Der Bericht warnt außerdem, dass verdächtige Aktivitäten, die über die Verbindung eines Opfers nach außen gehen, dazu führen könnten, dass andere diese IP-Adresse mit Missbrauch in Verbindung bringen.

Die in einigen Fällen berichteten zusätzlichen SSH-Schlüssel stellen ein eigenes Problem der Persistenz dar. Die alleinige Entfernung von Pawns.app würde den Zugriff nicht zwingend beenden, wenn ein vom Angreifer kontrollierter Schlüssel autorisiert bleibt.

Maßnahmen für Gerätebesitzer

Organisationen, die exponierte NAS-Systeme, Videorekorder oder SAP-Server betreiben, sollten zunächst prüfen, ob die betroffenen Produkte aus dem Internet erreichbar sind, und anschließend:

• Betroffene D-Link-Hardware am Ende ihres Lebenszyklus außer Betrieb nehmen und ersetzen, statt auf nicht unterstützte Geräte zu setzen.
• Die relevanten SAP-Gegenmaßnahmen auf NetWeaver 7.50 anwenden oder die Nutzung einstellen, wenn keine Gegenmaßnahmen verfügbar sind.
• Betroffene log4j-core-Installationen gemäß den Vorgaben der CISA aktualisieren.
• Systeme auf nicht autorisierte Installationen von Pawns.app und SSH-Public-Keys prüfen, die nicht zu genehmigten Administratoren gehören.
• Administrative Oberflächen und den SSH-Zugriff auf vertrauenswürdige Netze oder Management-Pfade beschränken.
• Zugangsdaten rotieren, wo eine Kompromittierung vermutet wird, und die Netzwerkaktivität auf nicht erklärten Proxy-Verkehr prüfen.
• Softwarepakete aus nicht vertrauenswürdigen Quellen meiden, insbesondere Bündel, die Systeme ohne klare Zustimmung in Residential-Proxy-Dienste einbinden können.

GreyNoise bietet außerdem einen kontobasierten Dienst an, mit dem sich prüfen lässt, ob eine IP-Adresse mit einem bekannten legitimen oder „grauen“ Proxy-Netz in Verbindung steht. Für Besitzer betroffener Edge-Geräte kann ein unerwarteter Treffer weitere Untersuchungen unterstützen. Die unmittelbaren Prioritäten bleiben jedoch das Patchen oder Ersetzen anfälliger Geräte und das Entfernen unautorisierter Zugriffe.