Secondo la ricerca di GreyNoise, gli attaccanti hanno compromesso almeno 143 dispositivi collegati a internet in 34 Paesi e ne hanno usato la banda attraverso la rete di proxy residenziali Pawns.app, riportata il 15 ottobre 2026.
Il dato si riferisce a dispositivi, non a persone o organizzazioni uniche. La data di inizio della campagna non è stata riportata.
Pawns.app è un'applicazione legittima di condivisione della banda, che paga gli utenti disposti a far passare volontariamente traffico di terzi attraverso la propria connessione internet. In questa operazione, però, il software è stato installato senza il consenso dei proprietari dei dispositivi. Installarlo su numerosi sistemi compromessi permetterebbe all'operatore di incassare i pagamenti sfruttando la connettività e gli indirizzi IP attendibili delle vittime.
GreyNoise avrebbe scoperto l'attività mentre esaminava traffico sospetto presso un'organizzazione non nominata. In alcune compromissioni, l'attaccante ha anche configurato l'autenticazione tramite chiavi SSH, offrendo un ulteriore modo per riottenere l'accesso.
Quattro vulnerabilità note hanno fornito l'accesso iniziale
Le intrusioni segnalate hanno coinvolto falle che interessano i dispositivi di storage D-Link legacy, un componente di SAP NetWeaver e un software che l'articolo associa ai sistemi NVR Ubiquiti UniFi Video. Tutte e quattro le vulnerabilità figurano nel catalogo Known Exploited Vulnerabilities della US Cybersecurity and Infrastructure Security Agency.
Dispositivi NAS D-Link giunti a fine vita
Due falle sfruttabili da remoto interessano l'endpoint /cgi-bin/nas_sharing.cgi dei prodotti D-Link:
- CVE-2024-3272, CVSS 9.8, espone credenziali hard-coded tramite l'argomento
usercon valoremessagebus. - CVE-2024-3273, CVSS 7.3, consente l'iniezione di comandi tramite l'argomento
system.
Le descrizioni NVD identificano i dispositivi DNS-320L, DNS-325, DNS-327L e DNS-340L fino a 20240403. I dati sui prodotti includono anche DNS-120, DNR-202L, DNS-315L, DNS-320 e DNS-320LW; l'unica versione firmware esatta indicata lì è la 1.01.0702.2013 per DNS-320L.
Per entrambe le vulnerabilità esistono exploit pubblici. I prodotti interessati erano già fuori supporto quando le falle sono state assegnate, e la CISA invita a ritirare e sostituire tutte le revisioni hardware associate end-of-life o end-of-service seguendo le istruzioni di D-Link.
Entrambe le CVE sono entrate nel catalogo KEV l'11 aprile 2024. Il termine per la correzione da parte delle agenzie federali statunitensi era il 2 maggio 2024.
Log4Shell presumibilmente usata contro gli NVR Ubiquiti
Il report della campagna associa la CVE-2021-44228, comunemente nota come Log4Shell, ai dispositivi NVR Ubiquiti UniFi Video. Il record NVD conferma la vulnerabilità sottostante di Apache Log4j, ma non elenca un prodotto Ubiquiti, quindi non stabilisce da solo questa associazione.
CVE-2021-44228 consente a un attaccante che controlla dati o parametri registrati di eseguire codice tramite endpoint LDAP o altri endpoint JNDI controllati dall'attaccante, quando è abilitata la sostituzione tramite message lookup. Riguarda specificamente log4j-core; non interessa log4net, log4cxx né gli altri progetti Apache Logging Services.
La descrizione NVD copre Log4j2 dalla 2.0-beta9 alla 2.15.0, escluse le release di sicurezza 2.12.2, 2.12.3 e 2.3.1. Indica che la 2.15.0 ha disattivato il comportamento per impostazione predefinita, mentre la 2.16.0, la 2.12.2, la 2.12.3 e la 2.3.1 hanno rimosso la funzionalità. Separatamente, l'elenco dei prodotti NVD registra le versioni di Apache Log4j inferiori alla 2.3.1.
La CISA ha aggiunto la vulnerabilità al KEV il 10 dicembre 2021, fissando al 24 dicembre 2021 la scadenza federale per la correzione. L'agenzia registra l'uso in campagne ransomware e richiede che gli asset federali interessati vengano aggiornati o rimossi dalle reti delle agenzie quando esistono aggiornamenti. Le misure temporanee previste dalla ED 22-02 sono accettabili solo finché gli aggiornamenti non sono disponibili.
SAP NetWeaver Visual Composer
CVE-2025-31324 è una vulnerabilità con CVSS 10 nel Metadata Uploader di SAP NetWeaver Visual Composer. Un'autorizzazione inadeguata consente a un attaccante non autenticato di caricare file binari eseguibili potenzialmente dannosi, mettendo a rischio la riservatezza, l'integrità e la disponibilità del sistema host.
L'elenco dei prodotti NVD identifica SAP NetWeaver 7.50. La CISA ha aggiunto la falla al KEV il 29 aprile 2025, con scadenza federale per la correzione il 20 maggio 2025, e registra il suo uso in campagne ransomware. La CISA chiede alle agenzie di applicare le mitigazioni del fornitore, seguire le indicazioni BOD 22-01 applicabili ai servizi cloud oppure dismettere il prodotto se le mitigazioni non sono disponibili.
GreyNoise avrebbe anche osservato attività mirata a apparecchiature DVR/NVR Hikvision e Dahua, ma nel resoconto non sono state identificate le vulnerabilità usate contro quei dispositivi.
Perché il proxyjacking riguarda più della sola banda
Un nodo proxy non autorizzato può trasportare traffico generato da clienti non collegati del servizio proxy. Il proprietario del dispositivo può quindi notare un aumento del consumo di banda, danni alla reputazione dell'indirizzo IP o blocchi di accesso imposti dai servizi online. Il report avverte inoltre che un'attività sospetta che esce attraverso la connessione di una vittima potrebbe portare altri ad associare quell'indirizzo IP ad abusi.
Le chiavi SSH aggiuntive segnalate in alcuni casi creano un problema di persistenza separato. Rimuovere solo Pawns.app non eliminerebbe necessariamente l'accesso se una chiave controllata dall'attaccante restasse autorizzata.
Azioni per i proprietari dei dispositivi
Le organizzazioni che gestiscono sistemi NAS, registratori video o server SAP esposti dovrebbero prima accertare se i prodotti interessati sono raggiungibili da internet, quindi:
- Ritirare e sostituire l'hardware D-Link end-of-life interessato, invece di affidarsi a dispositivi non più supportati.
- Applicare le mitigazioni SAP pertinenti a NetWeaver 7.50, oppure interrompere l'uso dove le mitigazioni non sono disponibili.
- Aggiornare le installazioni di
log4j-coreinteressate in linea con i requisiti della CISA. - Verificare nei sistemi l'eventuale installazione non autorizzata di Pawns.app e la presenza di chiavi pubbliche SSH che non appartengono ad amministratori approvati.
- Limitare le interfacce amministrative e l'accesso SSH a reti o percorsi di gestione attendibili.
- Ruotare le credenziali quando si sospetta una compromissione e controllare l'attività di rete alla ricerca di traffico proxy inspiegabile.
- Evitare pacchetti software provenienti da fonti non attendibili, in particolare bundle che potrebbero iscrivere i sistemi a servizi di proxy residenziali senza un consenso chiaro.
GreyNoise offre anche un servizio basato su account per verificare se un indirizzo IP è associato a una rete proxy nota come legittima o «grigia». Per i proprietari di dispositivi edge interessati, una corrispondenza inattesa può giustificare ulteriori indagini, ma le priorità immediate restano l'applicazione delle patch o la sostituzione dell'apparecchiatura vulnerabile e la rimozione degli accessi non autorizzati.
