Una campaña de cibercrimen ha comprometido al menos 143 dispositivos en 34 países aprovechando vulnerabilidades en productos de D-Link, Ubiquiti y SAP. Los atacantes instalaron el software de proxy Pawns.app, transformando las conexiones de las víctimas en nodos de proxy residenciales para enrutar tráfico de internet a través de sus direcciones IP reales.

Una campaña de cibercrimen ha comprometido al menos 143 dispositivos en 34 países explotando fallos en productos de D-Link, Ubiquiti y SAP.

Los atacantes instalaron el software de proxy Pawns.app en los dispositivos de las víctimas, convirtiendo sus conexiones a internet en nodos proxy residenciales.

Esto permite que el operador encamine el tráfico de internet a través de las direcciones IP reales de las víctimas, lo que puede hacer que la actividad sea más difícil de rastrear y puede ayudar a que se mezcle con el tráfico ordinario de los usuarios.

Investigadores de GreyNoise identificaron la campaña y la vincularon a un actor rastreado como “skynox7”. El grupo utilizó vulnerabilidades conocidas en almacenamiento de red, videovigilancia y software empresarial para obtener acceso, y luego instaló software que puede usarse legítimamente cuando el propietario del dispositivo así lo acepta.

GreyNoise advierte que los binarios asociados con la campaña no son automáticamente malware; la preocupación es su instalación y uso sin consentimiento.

La campaña resalta cómo los atacantes pueden convertir dispositivos perimetrales expuestos en herramientas para ocultar su propia actividad. A diferencia de un servidor proxy convencional, un proxy residencial encamina el tráfico a través de un dispositivo conectado a una red doméstica o empresarial.

Dado que la dirección IP puede coincidir con la ubicación habitual de un usuario, un inicio de sesión desde esa dirección podría no activar alertas basadas únicamente en la geografía. GreyNoise afirma que, por lo tanto, los proxies residenciales pueden complicar los esfuerzos para detectar inicios de sesión sospechosos e investigar la actividad en línea.

Explotan fallos de D-Link, Ubiquiti y SAP

GreyNoise indica que el actor explotó cuatro vulnerabilidades en tres grupos de productos. Las tecnologías afectadas fueron los dispositivos NAS D-Link ShareCenter, los grabadores de vídeo de red (NVR) Ubiquiti UniFi Video y SAP NetWeaver Visual Composer.

Los fallos reportados fueron CVE-2024-3272 y CVE-2024-3273 en dispositivos D-Link, CVE-2021-44228 en NVR Ubiquiti UniFi Video y CVE-2025-31324 en SAP NetWeaver Visual Composer.

Los fallos de D-Link están asociados con los productos de almacenamiento conectado a la red ShareCenter de la empresa. Ya se ha informado previamente sobre los problemas de inyección de comandos de los NAS de D-Link y el riesgo que suponían para los dispositivos expuestos; ese contexto ayuda a explicar por qué los sistemas de almacenamiento obsoletos y expuestos a internet pueden ser objetivos atractivos.

Deberías comprobar el modelo de tu dispositivo y el firmware comparándolos con la guía actual del proveedor, en lugar de asumir que todos los productos de D-Link están afectados.

El fallo de SAP afecta al componente Metadata Uploader en NetWeaver Visual Composer. Un informe independiente sobre CVE-2025-31324 describe cómo el problema podría permitir que atacantes no autenticados carguen archivos ejecutables en sistemas vulnerables.

Los sistemas SAP no son los únicos objetivos en esta campaña, pero la inclusión de un servidor de aplicaciones empresariales demuestra que el alcance del actor se extiende más allá del equipo de consumo y de pequeñas empresas.

Para Ubiquiti, GreyNoise vincula la campaña con CVE-2021-44228 en los NVR de UniFi Video. La fuente no proporciona detalles a nivel de dispositivo ni un recuento para cada producto, por lo que deberías evitar asumir que todo el equipo de Ubiquiti expuesto fue comprometido.

Un informe separado sobre fallos de seguridad más recientes de UniFi ofrece un contexto más amplio sobre por qué deberías mantener actualizado el software de tus dispositivos, aunque cubre vulnerabilidades diferentes.

Después de ganar acceso, el actor instaló el software Pawns.app para inscribir los dispositivos en una red comercial de proxies residenciales. El servicio puede tener usos legítimos: las personas pueden compartir voluntariamente su ancho de banda a cambio de un pago, y los desarrolladores pueden incluir software proxy en las aplicaciones.

El proxyjacking es diferente. Ocurre cuando un operador instala o utiliza software proxy en el dispositivo de otra persona sin permiso, monetizando la conexión mientras deja que el propietario del dispositivo asuma el riesgo y el impacto en la red.

GreyNoise también menciona que, en algunos casos, el atacante configuró la autenticación mediante claves SSH como una forma de respaldo para acceder a los dispositivos comprometidos. Esto puede permitir que el acceso persista más allá del exploit inicial, incluso si la debilidad original se corrige posteriormente.

Los investigadores dijeron que el actor parecía dirigirse a otras marcas de DVR y NVR, incluyendo Hikvision y Dahua, pero el informe no confirma la vulneración exitosa de esos productos.

Las consecuencias pueden extenderse más allá del dispositivo afectado. Un nodo proxy puede usarse para encaminar actividad dirigida a objetivos no relacionados, haciendo que el tráfico parezca provenir de una conexión residencial u oficina ordinaria.

GreyNoise describe una investigación en la que múltiples usuarios se autenticaron desde la misma dirección IP de proxy residencial. Ese patrón inusual impulsó una investigación más profunda que confirmó una intrusión grave; la empresa no publicó detalles de ese incidente independiente.

Qué deberían comprobar los defensores

Las organizaciones deberían identificar los dispositivos NAS, NVR y sistemas SAP expuestos a internet, confirmar si están presentes los productos y componentes vulnerables mencionados, y aplicar las actualizaciones o mitigaciones del proveedor.

Si un sistema no puede parchearse rápidamente, restringe el acceso a su gestión o servicios vulnerables y elimina la exposición innecesaria al internet público. Para SAP NetWeaver, se recomienda parchear y restringir el acceso al endpoint de Metadata Uploader cuando el parcheo inmediato no sea posible.

Los equipos de seguridad deberían revisar los registros de autenticación en busca de direcciones de proxy residencial, especialmente cuando varios usuarios parecen iniciar sesión desde la misma dirección.

GreyNoise también recomienda comprobar señales más allá de la ubicación, incluyendo identificadores de dispositivo, identificadores de sesión y cadenas de User-Agent.

Una ubicación familiar por sí sola no prueba que un inicio de sesión sea seguro: la misma IP residencial podría estar transportando el tráfico de un usuario legítimo y la actividad no relacionada de un operador de proxy.

Para obtener contexto relacionado sobre proxyware instalado a través de software engañoso, se ha informado sobre una campaña separada que disfrazaba el proxyware como una herramienta de Notepad++.

Esa campaña utilizó un método de entrega diferente, pero ilustra el mismo riesgo básico: el software que vende o comparte ancho de banda puede volverse dañino cuando se instala sin el conocimiento del propietario del dispositivo.

Fuentes:
https://cybersecuritynews.com/hackers-exploit-d-link/