Gli hacker criminali violano i dispositivi D-Link e Ubiquiti per trasformarli in proxy residenziali

Gli esperti di GreyNoise hanno scoperto che degli hacker criminali stanno violando dispositivi D-Link e Ubiquiti per installare l'applicazione Pawns.app, utilizzata per monetizzare le connessioni internet. Sono stati trovati almeno 143 dispositivi compromessi in 34 paesi. Le vulnerabilità sfruttate includono CVE-2024-3272 e CVE-2024-3273 in D-Link ShareCenter NAS, CVE-2021-44228 in Ubiquiti UniFi Video NVR e CVE-2025-31324 in SAP NetWeaver Visual Composer.

Gli esperti di GreyNoise hanno scoperto che i malintenzionati violano i dispositivi di rete e installano segretamente su di essi l’applicazione legittima Pawns.app, con cui monetizzano le connessioni internet altrui attraverso una rete commerciale di proxy residenziali. I ricercatori hanno trovato almeno 143 dispositivi compromessi in 34 paesi.

L’applicazione Pawns.app permette ai propri utenti di guadagnare facendo transitare attraverso la propria connessione internet il traffico di altri utenti. Poiché al servizio e ai suoi clienti servono indirizzi IP normali, non bloccati, le connessioni domestiche e aziendali sono particolarmente apprezzate.

Come hanno accertato gli esperti, alcuni malintenzionati installano questa applicazione sui dispositivi altrui senza il consenso dei proprietari, probabilmente raccogliendo informazioni da numerosi sistemi infetti.

Questa campagna dannosa è stata scoperta durante un’indagine sull’attività sospetta nella rete di un’organizzazione non identificata.

Gli analisti hanno stabiliscono che per violare i dispositivi di rete gli hacker hanno utilizzato diverse vulnerabilità note, tra cui CVE-2024-3272 e CVE-2024-3273 in D-Link ShareCenter NAS, CVE-2021-44228 in Ubiquiti UniFi Video NVR e CVE-2025-31324 in SAP NetWeaver Visual Composer. Inoltre, i malintenzionati hanno attaccato i videoregistratori Hikvision e Dahua, anche se i ricercatori non specificano quali bug sono stati sfruttati in questi casi.

Si segnala che in alcuni sistemi compromessi gli hacker hanno anche configurato l’autenticazione tramite chiave SSH, per mantenere un accesso di riserva ai dispositivi violati.

I ricercatori avvertono che anche i servizi legittimi di proxy residenziali possono far transitare attraverso i nodi dei propri partecipanti del traffico sospetto, se gli operatori non controllano con sufficiente attenzione l’attività dei clienti. Di conseguenza, l’indirizzo IP del proprietario del dispositivo potrebbe finire nelle liste nere e l’utente stesso potrebbe risultare coinvolto in attività illecite svolte da altre persone.

Gli esperti ricordano di installare tempestivamente gli aggiornamenti per NAS, videoregistratori e altri dispositivi accessibili via internet, utilizzare credenziali affidabili, configurazioni sicure e limitare l’accesso di rete.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response