Представьте, что ваш домашний или офисный роутер прямо сейчас тихо перенаправляет трафик хакеров со всего мира, пока вы смотрите сериал или пишете код. Звучит как сюжет киберпанка? А между тем, свежее исследование GreyNoise доказывает: это новая реальность сетевой безопасности, с которой уже столкнулись тысячи владельцев оборудования D-Link и Ubiquiti.

Введение: Новая эволюция киберугроз для сетевого оборудования

Современный ландшафт информационной безопасности переживает трансформацию. Если раньше злоумышленники фокусировались преимущественно на атаках на конечные точки — рабочие станции, серверы и мобильные устройства пользователей, — то сегодня фокус сместился в сторону периметра сети. Сетевые устройства, такие как роутеры и маршрутизаторы марок D-Link и Ubiquiti, все чаще становятся главными мишенями для хакеров. Недавнее исследование компании GreyNoise выявило масштабную кибератаку, в ходе которой тысячи сетевых устройств по всему миру были скомпрометированы с целью создания гигантской сети коммерческих прокси-серверов.

Эта атака получила название прокси-джекинг (proxyjacking). Вместо развертывания классических шифровальщиков или бэкдоров, которые легко обнаруживаются современными системами защиты, злоумышленники применили концепцию «жизни за счет легитимных средств» (Living-off-the-Land). Они использовали вполне законные инструменты шеринга интернет-трафика, перепрофилировав их для монетизации украденной полосы пропускания и организации анонимного доступа для других киберпреступников.

В этой статье мы подробно разберем механику данной атаки, проанализируем роль легитимных приложений, таких как Pawns.app, оценим масштабы проблемы на основе реальных цифр и обсудим главные вызовы, с которыми сталкиваются современные специалисты по информационной безопасности при защите IoT и сетевой инфраструктуры.

Давайте разберем по винтикам, как именно рутинное сетевое железо превращают в оружие для обхода блокировок.

Анатомия атаки: Как роутеры D-Link и Ubiquiti превращаются в прокси

Сетевые устройства марок D-Link и Ubiquiti традиционно пользуются высоким спросом как в корпоративном сегменте, так и среди домашних пользователей. Однако именно массовость и однотипность конфигураций делают их лакомым кусочком для злоумышленников (почти как утренняя миграция легаси-кода в продакшн без ревью). В ходе последней кампании хакеры эксплуатировали уязвимости в программном обеспечении роутеров и слабые места в настройках контроля доступа.

Вместо того чтобы писать сложный вредоносный код с нуля, киберпреступники задействовали старые версии легитимного приложения Pawns.app. Изначально эта платформа позиционировалась как сервис для заработка на шеринге интернет-трафика (bandwidth-sharing). Пользователи добровольно устанавливали приложение, чтобы делиться неиспользуемым каналом связи за небольшое вознаграждение.

Однако злоумышленники нашли способ внедрять уязвимые или модифицированные сборки этого ПО непосредственно на взломанные роутеры D-Link и Ubiquiti. В результате владельцы оборудования даже не подозревали, что их каналы связи используются посторонними лицами для перенаправления трафика. Подобные инциденты вызывают ассоциации с обсуждениями на форумах, где администраторы делятся опытом настройки сложных систем и интеграций, например, пытаясь корректно настроить "amazon rds oracle database link" для бесшовного взаимодействия баз данных, не подозревая, что параллельно их инфраструктура может страдать от сетевых атак.

«Прокси-джекинг стирает грань между вредоносным и легитимным ПО. Когда злоумышленники используют законные инструменты шеринга трафика, традиционные сигнатурные методы обнаружения оказываются бессильными», — отмечают эксперты GreyNoise.

Но насколько глубоко зашла эта зараза? Цифры заставляют взглянуть на привычные сетевые железки совсем под другим углом.

Масштабы проблемы: Цифры и география прокси-джекинга

Исследование компании GreyNoise позволило оценить реальные масштабы бедствия. Кампания затронула как минимум 143 уникальных сетевых устройства, распределенных по 34 странам мира. Хотя на первый взгляд цифра в 143 устройства может показаться небольшой для глобальной кибератаки, стоит учитывать специфику оборудования: речь идет именно о роутерах и шлюзах, каждый из которых обслуживает целые локальные сети, включая десятки рабочих машин и IoT-гаджетов.

Такие прокси-сети высокой степени надежности чрезвычайно ценятся в теневом сегменте интернета. Киберпреступники используют их для маскировки своих цифровых следов при проведении фишинговых кампаний, брутфорс-атак, рассылки спама и обхода гео-ограничений. Подобные сети часто функционируют по аналогии со скандально известными сервисами злонамеренных резидентных прокси (такими как IPIDEA, NetNut и Cloudrouter, которые в последнее время подверглись серьезному давлению со стороны правоохранительных органов и были частично демонтированы).

Интересно отметить эволюцию самого инструментария. Разработчики Pawns.app официально прекратили поддержку функции шеринга интернет-трафика в начале года (на официальном сайте проекта указано, что с 2026 года эта функциональность полностью закрыта). Тем не менее, старые версии приложения и оставшиеся неисправленными уязвимости продолжают активно эксплуатироваться злоумышленниками в дикой природе.

Поговорим о том, почему хакеры выбирают именно этот путь, игнорируя классические дата-центры.

Проблема «чистых» IP-адресов и монетизация трафика

Почему хакеры идут на такие сложности со взломом роутеров D-Link и Ubiquiti вместо использования стандартных дата-центровских VPN и прокси? Ответ кроется в концепции резидентных IP-адресов.

Современные системы защиты от ботов, веб-краулеров и мошенничества (Anti-Fraud системы) научились эффективно вычислять и блокировать трафик, исходящий из дата-центров (AWS, DigitalOcean, Hetzner и др.). IP-адреса провайдеров коммерческого хостинга находятся в черных списках по умолчанию. Совсем другое дело — реальные домашние или офисные IP-адреса, выданные обычными интернет-провайдерами (ISP).

Схема монетизации выглядит следующим образом:

  1. Злоумышленники сканируют глобальную сеть на предмет уязвимых роутеров D-Link и Ubiquiti.
  2. Получают несанкционированный доступ к административным панелям или эксплуатируют критические уязвимости (RCE).
  3. Устанавливают компоненты для перенаправления трафика (используя наработки на базе старых версий легитимного софта).
  4. Продают доступ к полученным «чистым» резидентным прокси через теневые маркетплейсы другим киберпреступникам.

В контексте обсуждения цифровых экосистем и мультимедиа-технологий пользователи часто ищут в сети обзоры гаджетов, например, задавая поисковый запрос "fiio air link обзор", чтобы оценить качество беспроводного соединения. Однако в мире корпоративной и сетевой безопасности вопрос «линков» и соединений стоит гораздо жестче: любое неучтенное соединение или скрытый тоннель на маршрутизаторе может означать компрометацию всей корпоративной сети.

Осознание масштаба проблемы подводит нас к главным вызовам, с которыми сегодня сталкиваются инженеры по безопасности.

Главные вызовы для ИБ-специалистов и разработчиков

Описанная кампания обнажает системные проблемы в сфере безопасности интернета вещей (IoT) и сетевой инфраструктуры. Эксперты выделяют три ключевых аспекта, вызывающих наибольшее беспокойство у специалистов по информационной безопасности:

1. Игнорирование патчей и слабая безопасность IoT

Большинство домашних и офисных роутеров годами работают на «заводских» прошивках без установки обновлений безопасности. Пользователи редко заходят в админ-панель роутера, если интернет работает стабильно. Производители вроде D-Link и Ubiquiti регулярно выпускают патчи для закрытия критических уязвимостей, но донести эти обновления до конечного потребителя — сложнейшая задача.

2. Злоупотребление легитимным ПО (Living-off-the-Land)

Атаки с использованием легитимных утилит и приложений ставят в тупик классические средства мониторинга. Поскольку трафик идет через известные и изначально не вредоносные платформы (такие как Pawns.app), межсетевые экраны и системы предотвращения вторжений (IDS/IPS) не фиксируют аномалий. Требуется переход на поведенческий анализ сетевой активности и жесткий контроль исходящих соединений.

3. Отсутствие контроля доступа к админ-панелям

Многие взломы происходят из-за банального пренебрежения базовыми правилами конфигурации: оставленные по умолчанию учетные данные (admin/admin), открытый доступ к веб-интерфейсу из глобальной сети (WAN) и отключенное шифрование (HTTPS).

Для предотвращения подобных атак администраторам сетей рекомендуется следовать базовым правилам безопасности:

# Рекомендуемые шаги по защите сетевого оборудования:
1. Регулярно обновляйте прошивку роутеров D-Link, Ubiquiti и других вендоров.
2. Отключите удаленное управление роутером из интернета (доступ к админ-панели только из локальной сети).
3. Измените стандартные учетные данные администратора на сложные уникальные пароли.
4. Используйте мониторинг сетевого трафика для выявления подозрительных исходящих соединений на неизвестные порты.

Заключение

Кампания по прокси-джекингу с использованием скомпрометированных роутеров D-Link и Ubiquiti демонстрирует, насколько изобретательными стали современные киберпреступники. Эксплуатация легитимных приложений, таких как старые версии Pawns.app, позволяет им обходить традиционные защитные механизмы и превращать легальную полосу пропускания в источник незаконного дохода.

Этот инцидент должен стать серьезным предупреждением как для разработчиков программного обеспечения, так и для рядовых пользователей и системных администраторов. Безопасность больше не заканчивается на защите рабочих станций и серверов — периметр сети начинается с домашнего или офисного маршрутизатора. Своевременное обновление прошивок, строгий контроль доступа и отказ от небезопасных практик конфигурации остаются единми надежными способами защитить свою инфраструктуру от превращения в невольного соучастника киберпреступлений. Загляните в настройки своего роутера прямо сегодня — возможно, ваша сеть уже раздает интернет кому-то еще.