La empresa de inteligencia de amenazas GreyNoise descubrió la campaña mientras investigaba una actividad sospechosa en una organización no revelada, e identificó al menos 143 dispositivos comprometidos en todo el mundo.

Según los investigadores, el atacante aprovechó varias vulnerabilidades para vulnerar dispositivos perimetrales e instalar el software Pawns.app:

* CVE-2024-3272 y CVE-2024-3273 en D-Link ShareCenter NAS
* CVE-2021-44228 en Ubiquiti UniFi Video NVR
* CVE-2025-31324 en SAP NetWeaver Visual Composer

Los investigadores también observaron ataques dirigidos a dispositivos DVR/NVR de Hikvision y Dahua, pero no especificaron las vulnerabilidades explotadas en estos sistemas.

GreyNoise afirma que, en algunos casos, los atacantes configuraron la autenticación de claves SSH como un método de acceso de respaldo.

Configuración del acceso SSH
Fuente: GreyNoise

Incluso las redes de proxies legítimas pueden enrutar tráfico sospechoso a través de nodos operados por voluntarios debido a una supervisión insuficiente, lo que podría resultar en el bloqueo de direcciones IP para los usuarios participantes o exponerlos a acusaciones de participación en actividades ilegales.

El FBI advirtió previamente sobre el uso de tales redes para llevar a cabo ataques de relleno de credenciales (credential stuffing) a gran escala contra plataformas en línea.

GreyNoise ofrece un servicio gratuito (requiere cuenta) para que los usuarios comprueben si su dirección IP forma parte de un servicio de proxy legítimo o "gris" conocido.

En general, se recomienda evitar la descarga de software de fuentes no confiables, ya que el software supuestamente gratuito puede contener malware que inscriba los dispositivos en redes de proxies residenciales.

Los actores de amenazas también explotan comúnmente vulnerabilidades conocidas en dispositivos conectados a internet. Mantener actualizados los dispositivos NAS, los grabadores de video y otros sistemas orientados a internet puede reducir significativamente el riesgo de compromiso.

No obstante, los usuarios también deben utilizar credenciales fuertes, una configuración segura y restringir el acceso a la red.

Fuente:
BleepingComputer