1. Minstens 143 apparaten in 34 landen zijn gecompromitteerd door een cybercampagne die kwetsbaarheden uitbuit in producten van D-Link, Ubiquiti en SAP.
2. De campagne identificeert een actor, bekend als "skynox7", die vier kwetsbaarheden in deze productgroepen misbruikte.
3. De specifieke kwetsbaarheden zijn CVE-2024-3272 en CVE-2024-3273 in D-Link ShareCenter NAS-apparaten, CVE-2021-44228 in Ubiquiti UniFi Video NVR's en CVE-2025-31324 in SAP NetWeaver Visual Composer. De kwetsbaarheid in SAP treft de Metadata Uploader-component.
4. De getroffen technologieën omvatten D-Link ShareCenter NAS-apparaten, Ubiquiti UniFi Video netwerk video-recorders (NVR's) en SAP NetWeaver Visual Composer. De opname van een enterprise application server, zoals SAP, duidt op een bereik dat verder reikt dan consumenten- en kleinbedrijfsapparatuur.
5. Onderzoekers van GreyNoise linkten de campagne aan de actor.
6. Na het verkrijgen van toegang, installeerden aanvallers Pawns.app proxyserver software op de gecompromitteerde apparaten.
7. Dit verandert de apparaten van de slachtoffers in residentiële proxy nodes, wat betekent dat de operator internetverkeer kan leiden via de echte IP-adressen van de slachtoffers.
8. De geassocieerde binaire bestanden zijn niet per definitie malware; het probleem is de installatie en het gebruik ervan zonder toestemming van de eigenaar. Dit proces wordt proxyjacking genoemd.
9. Het gebruik van residentiële proxies maakt de activiteiten van de aanvaller moeilijker traceerbaar en kan opgaan in normaal gebruikersverkeer.
10. In tegenstelling tot conventionele proxies, leidt een residentiële proxy verkeer via een apparaat dat verbonden is met een thuis- of bedrijfsnetwerk.
11. Dit kan het opsporen van verdachte inlogpogingen bemoeilijken, aangezien een login vanaf het IP-adres van de gebruiker mogelijk geen geografische waarschuwingen activeert. Een bekende locatie bewijst geen veilige login, omdat hetzelfde residentiële IP-adres verkeer van legitieme gebruikers en proxy-operatoren kan dragen.
12. In sommige gevallen stelde de aanvaller SSH-sleutelauthenticatie in als een back-up voor toegang tot gecompromitteerde apparaten.
13. De campagne demonstreert hoe aanvallers blootgestelde edge-apparaten kunnen gebruiken om hun eigen activiteiten te verbergen.
14. De aanvaller leek ook andere DVR- en NVR-merken te targeten, zoals Hikvision en Dahua, hoewel succesvolle compromittering hiervan niet is bevestigd.
15. Organisaties wordt aangeraden internetgerichte NAS-apparaten, NVR's en SAP-systemen te identificeren, te controleren op de aanwezigheid van de genoemde producten en kwetsbare componenten, en vendorupdates of mitigerende maatregelen toe te passen.
16. Indien een systeem niet direct gepatcht kan worden, dient toegang tot het beheer of de kwetsbare services beperkt te worden, en onnodige blootstelling aan het openbare internet verwijderd.
17. Beveiligingsteams worden geadviseerd om authenticatielogboeken te controleren op residentiële proxy-adressen, met name wanneer meerdere gebruikers vanaf hetzelfde adres lijken in te loggen.
18. Naast locatie worden aanbevelingen gedaan om te controleren op apparaat-ID's, sessie-ID's en User-Agent strings.