Des attaquants transforment des appareils de périphérie compromis en nœuds de proxy résidentiels Pawns.app

Des attaquants ont compromis au moins 143 appareils connectés à Internet, répartis dans 34 pays, et ont utilisé leur bande passante via le réseau de proxy résidentiels Pawns.app, selon une recherche de GreyNoise signalée le 15 octobre 2026.

Ce chiffre désigne des appareils, et non des personnes ou des organisations uniques. La date de début de la campagne n'a pas été communiquée.

Pawns.app est une application légitime de partage de bande passante qui rémunère les utilisateurs acceptant volontairement que du trafic tiers transite par leur connexion Internet. Dans cette opération, en revanche, le logiciel a été installé sans le consentement des propriétaires des appareils. Son déploiement sur de nombreux systèmes compromis permettrait à l'opérateur de toucher les rémunérations tout en utilisant la connectivité et les adresses IP de confiance des victimes.

Selon les informations rapportées, GreyNoise aurait découvert cette activité en analysant un trafic suspect chez une organisation non identifiée. Dans certaines compromissions, l'attaquant a également configuré une authentification par clé SSH, ce qui lui offrait un moyen supplémentaire de rétablir l'accès.

Quatre vulnérabilités connues ont permis l'accès initial

Les intrusions signalées exploitaient des failles touchant d'anciens dispositifs de stockage D-Link, un composant SAP NetWeaver et un logiciel que l'article associe aux systèmes NVR Ubiquiti UniFi Video. Les quatre vulnérabilités figurent dans le catalogue des vulnérabilités connues et activement exploitées (KEV) de la CISA, l'agence américaine de cybersécurité et de sécurité des infrastructures.

Appareils NAS D-Link en fin de vie

Deux failles exploitables à distance touchent le point d'accès /cgi-bin/nas_sharing.cgi des produits D-Link :

• CVE-2024-3272, CVSS 9,8, expose des identifiants codés en dur via l'argument user avec la valeur messagebus.
• CVE-2024-3273, CVSS 7,3, permet une injection de commandes via l'argument system.

Les descriptions NVD identifient les appareils DNS-320L, DNS-325, DNS-327L et DNS-340L jusqu'à 20240403. Les données produit associées incluent aussi les DNS-120, DNR-202L, DNS-315L, DNS-320 et DNS-320LW ; la seule version de firmware exacte mentionnée est le firmware 1.01.0702.2013 du DNS-320L.

Des exploits publics existent pour ces deux vulnérabilités. Les produits concernés n'étaient déjà plus pris en charge au moment de l'attribution des failles, et la CISA demande aux exploitants de retirer et de remplacer toutes les révisions matérielles associées en fin de vie ou en fin de service, conformément aux instructions de D-Link.

Les deux CVE ont intégré le catalogue KEV le 11 avril 2024. L'échéance de correction pour les agences fédérales américaines était fixée au 2 mai 2024.

Log4Shell aurait été utilisée contre des NVR Ubiquiti

Le rapport sur la campagne associe la CVE-2021-44228, plus connue sous le nom de Log4Shell, aux appareils NVR Ubiquiti UniFi Video. La fiche NVD confirme la vulnérabilité Apache Log4j sous-jacente, mais ne mentionne aucun produit Ubiquiti ; elle ne permet donc pas, à elle seule, d'établir ce lien avec ce produit.

La CVE-2021-44228 permet à un attaquant qui contrôle des données ou des paramètres journalisés de déclencher une exécution de code via des points d'accès LDAP ou JNDI contrôlés par l'attaquant, lorsque la substitution de recherche de messages est activée. Elle concerne uniquement log4j-core ; elle n'affecte ni log4net, ni log4cxx, ni les autres projets Apache Logging Services.

La description NVD couvre Log4j2 de 2.0-beta9 à 2.15.0, à l'exclusion des versions de sécurité 2.12.2, 2.12.3 et 2.3.1. Elle indique que la 2.15.0 désactivait ce comportement par défaut, tandis que les versions 2.16.0, 2.12.2, 2.12.3 et 2.3.1 ont supprimé cette fonctionnalité. Par ailleurs, la liste des produits NVD recense les versions d'Apache Log4j antérieures à 2.3.1.

La CISA a ajouté la vulnérabilité au catalogue KEV le 10 décembre 2021 et fixé au 24 décembre 2021 l'échéance de correction pour les agences fédérales. L'agence signale son utilisation dans des campagnes de rançongiciels et exige que les actifs fédéraux concernés soient mis à jour ou retirés des réseaux des agences lorsque des mises à jour existent. Les mesures temporaires prévues par la directive ED 22-02 ne sont acceptables que jusqu'à la disponibilité des mises à jour.

SAP NetWeaver Visual Composer

La CVE-2025-31324 est une vulnérabilité CVSS 10 affectant le Metadata Uploader de SAP NetWeaver Visual Composer. Une autorisation mal contrôlée permet à un attaquant non authentifié de téléverser des binaires exécutables potentiellement malveillants, mettant en péril la confidentialité, l'intégrité et la disponibilité du système hôte.

La liste de produits NVD identifie SAP NetWeaver 7.50. La CISA a ajouté la faille au catalogue KEV le 29 avril 2025, avec une échéance de correction fédérale fixée au 20 mai 2025, et signale son utilisation dans des campagnes de rançongiciels. L'agence demande aux agences d'appliquer les mesures d'atténuation du fournisseur, de suivre les consignes applicables de la directive BOD 22-01 pour les services cloud, ou d'arrêter d'utiliser le produit si ces mesures ne sont pas disponibles.

Selon les informations rapportées, GreyNoise aurait également observé des attaques visant des équipements DVR/NVR Hikvision et Dahua, mais les vulnérabilités exploitées contre ces appareils ne sont pas identifiées dans le compte rendu.

Pourquoi le proxyjacking touche plus que la bande passante

Un nœud proxy non autorisé peut acheminer le trafic généré par d'autres clients du service proxy, sans lien avec le propriétaire de l'appareil. Ce dernier peut en conséquence constater une consommation de bande passante accrue, une dégradation de la réputation de son adresse IP ou des blocages d'accès imposés par des services en ligne. Le rapport avertit aussi qu'une activité suspecte sortant par la connexion d'une victime pourrait amener des tiers à associer cette adresse IP à des abus.

Les clés SSH supplémentaires signalées dans certains cas posent un problème de persistance distinct. Supprimer seul Pawns.app ne suffirait pas forcément à éliminer l'accès si une clé contrôlée par l'attaquant restait autorisée.

Actions à mener pour les propriétaires d'appareils

Les organisations exploitant des systèmes NAS, des enregistreurs vidéo ou des serveurs SAP exposés devraient d'abord vérifier si les produits concernés sont accessibles depuis Internet, puis :

• Retirer et remplacer le matériel D-Link concerné, en fin de vie, plutôt que de continuer à utiliser des appareils non pris en charge.
• Appliquer les mesures d'atténuation SAP pertinentes pour NetWeaver 7.50, ou cesser son utilisation lorsque ces mesures ne sont pas disponibles.
• Mettre à jour les déploiements concernés de log4j-core conformément aux exigences de la CISA.
• Vérifier si des installations non autorisées de Pawns.app sont présentes sur les systèmes, ainsi que des clés publiques SSH n'appartenant pas à des administrateurs approuvés.
• Restreindre l'accès aux interfaces d'administration et à SSH aux réseaux de confiance ou aux voies d'administration dédiées.
• Renouveler les identifiants en cas de suspicion de compromission et examiner l'activité réseau pour détecter un trafic proxy inexpliqué.
• Éviter les paquets logiciels provenant de sources non fiables, en particulier les lots susceptibles d'inscrire des systèmes à des services de proxy résidentiels sans consentement clair.

GreyNoise propose aussi un service, accessible avec un compte, permettant de vérifier si une adresse IP est associée à un réseau proxy connu, qu'il soit légitime ou « gris ». Pour les propriétaires d'équipements de périphérie concernés, une correspondance inattendue peut justifier une enquête plus approfondie, mais l'application des correctifs, le remplacement des équipements vulnérables et la suppression des accès non autorisés restent les priorités immédiates.