Специалисты GreyNoise выявили кампанию, в ходе которой злоумышленники компрометируют сетевые устройства D-Link и Ubiquiti и тайно устанавливают на них приложение Pawns.app. Это легитимный сервис, позволяющий владельцу устройства продавать своё интернет-соединение как часть коммерческой сети резидентных прокси.

Исследователи обнаружили как минимум 143 скомпрометированных устройства в 34 странах. После установки Pawns.app трафик ничего не подозревающих владельцев начинает проходить через чужие задачи, а выручка от сдачи подключения в аренду достаётся атакующим, а не хозяевам оборудования.

Схема примечательна тем, что злоумышленники не пишут собственный вредонос, а используют вполне легальное приложение с открытой репутацией. Антивирусы и системы мониторинга такие установки часто не помечают как угрозу, поскольку формально это обычный софт для монетизации трафика.

Под удар попадают в первую очередь устройства с доступом в интернет и слабыми учётными данными или устаревшей прошивкой. Маршрутизаторы и оборудование для организации сетей традиционно остаются удобной целью: их редко обновляют, а зачастую оставляют с заводскими паролями.

Для владельцев последствия не ограничиваются потерей скорости канала. Через их IP-адреса может проходить чужой трафик, что создаёт риск блокировок со стороны провайдеров и претензий правоохранительных органов по действиям, которые совершали не они.

Практический вывод очевиден: нужно проверить прошивки и список установленных приложений на сетевом оборудовании, сменить пароли и закрыть административный доступ из интернета. Само по себе наличие Pawns.app на устройстве стоит воспринимать как признак компрометации, если владелец не устанавливал его сознательно.