Un hacker comprometió 143 dispositivos en 34 países y monetizó la conexión a Internet ajena

Un hacker convirtió al menos 143 dispositivos ajenos en 34 países en una fuente de ingresos a partir del tráfico de internet. En lugar del botnet habitual para ataques DDoS, el atacante instaló en el equipo comprometido la aplicación legal Pawns.app, que vende acceso a direcciones IP ajenas.

La campaña fue detectada por especialistas de GreyNoise. El atacante explotó vulnerabilidades en sistemas de almacenamiento en red, grabadores de vídeo y software corporativo para conectar dispositivos a una red de proxies comercial sin el consentimiento de sus propietarios. A esta forma de obtener beneficios se la denomina proxyjacking. A diferencia del alquiler voluntario del canal de internet, aquí quien recibe la ganancia es una persona ajena.

El atacante explotó dos vulnerabilidades del D-Link ShareCenter NAS, CVE-2024-3272 y CVE-2024-3273. Entre otros objetivos estuvieron los grabadores Ubiquiti UniFi Video NVR con la vulnerabilidad CVE-2021-44228 y servidores SAP NetWeaver Visual Composer con CVE-2025-31324. Los investigadores también observaron interés por dispositivos Hikvision y Dahua, pero no confirmaron su compromiso.

Después de obtener acceso, el atacante instalaba Pawns.app. La aplicación permite a los propietarios de dispositivos compartir voluntariamente el ancho de banda de su conexión a internet a cambio de una recompensa. El servicio está vinculado al proveedor de proxies residenciales IPRoyal. En este caso la aplicación se ejecutaba en equipos ajenos y el dinero por el uso del tráfico se dirigía a la cuenta del atacante.

Los investigadores prestaron atención a las variantes de Pawns.app para la línea de comandos. Al ejecutarla se pueden pasar el usuario, la contraseña y los datos del dispositivo, por lo que el operador no necesita registrar manualmente cada nodo infectado. GreyNoise dispone de la dirección de correo electrónico skynox7@proton.me, vinculada a una cuenta para pagos, y de la dirección IP 209.99.190.80 desde la cual se llevaron a cabo los ataques.

En casos aislados el delincuente añadía además su propia clave SSH, conservando una vía de acceso de reserva al dispositivo comprometido. Incluso si se elimina la aplicación de proxy, ese acceso puede permanecer. No obstante, Pawns.app en sí no es necesariamente maliciosa. La violación se produce cuando la aplicación se instala en equipos ajenos sin permiso y se dispone de su conexión de red.

El esquema es peligroso no solo por el consumo de tráfico. Los clientes de proxies residenciales salen a internet a través de direcciones IP de usuarios y organizaciones comunes, por lo que las solicitudes pueden parecer conexiones habituales desde la región deseada. GreyNoise describió un caso en el que accesos sospechosos a Microsoft Entra ID procedían de direcciones domésticas. La verificación confirmó una intrusión grave, pero no se estableció su vínculo con la campaña skynox7.

GreyNoise recomienda comprobar los accesos desde proxies residenciales, especialmente cuando varios empleados usan una misma dirección, y comparar identificadores de dispositivos, sesiones y navegadores. Se aconseja a los propietarios del equipo instalar los parches y revisar la actividad de red sospechosa. Una dirección IP doméstica por sí sola ya no garantiza que detrás de la conexión haya un usuario habitual.