Des pirates détournent des NAS D-Link et des enregistreurs Ubiquiti pour gagner de l’argent avec votre connexion Internet
Des cybercriminels exploitent des failles connues pour transformer des équipements connectés en relais Internet rémunérés. Une campagne qui menace aussi la réputation des adresses IP des victimes, susceptibles de servir à d'autres activités malveillantes.
Pour prendre le contrôle des appareils, les pirates se sont appuyés sur plusieurs vulnérabilités déjà documentées. Sur les NAS D-Link ShareCenter, ils ont notamment exploité les failles CVE-2024-3272 et CVE-2024-3273, qui permettent, lorsqu'elles sont combinées, de contourner l'authentification et d'exécuter des commandes à distance.
Les enregistreurs vidéo Ubiquiti UniFi Video ont quant à eux été compromis à travers Log4Shell (CVE-2021-44228), une vulnérabilité critique découverte fin 2021. Les chercheurs ont également identifié l'exploitation de la faille CVE-2025-31324 dans SAP NetWeaver Visual Composer, ainsi que des tentatives visant des systèmes de vidéosurveillance Hikvision et Dahua, sans pouvoir préciser les vulnérabilités utilisées dans ces derniers cas.
Une fois les équipements compromis, les attaquants y ont installé Pawns.app, un logiciel légitime conçu pour rémunérer les internautes qui acceptent de partager leur connexion Internet. Le principe repose sur un réseau de proxys résidentiels, dans lequel le trafic de clients tiers transite par les appareils participants. Les sites consultés voient alors l'adresse IP de la connexion utilisée comme relais, plutôt que celle du client à l'origine de la requête.
Dans cette campagne, les pirates ont associé les installations à leur propre compte Pawns.app, afin de percevoir les éventuelles rémunérations générées par les connexions détournées. GreyNoise a également observé que certains appareils avaient été configurés pour accepter une clé SSH contrôlée par les attaquants, leur offrant un autre moyen d'y accéder ultérieurement.
Si les intrusions et les installations frauduleuses sont documentées, les gains réalisés demeurent inconnus. Pawns.app affirme d'ailleurs avoir abandonné sa fonction de partage de bande passante en 2026, bien que son site professionnel propose toujours aux développeurs un SDK reposant sur cette technologie. Les chercheurs ne précisent pas si les pirates ont effectivement reçu des paiements.