// CLUBIC — CYBERSECURITY
Des pirates détournent des NAS D-Link et des enregistreurs Ubiquiti pour gagner de l'argent avec votre connexion Internet
Des cybercriminels exploitent des failles connues pour transformer des équipements connectés en relais Internet rémunérés. Une campagne qui menace aussi la réputation des adresses IP des victimes, susceptibles de servir à d'autres activités malveillantes.
Des pirates ont trouvé un moyen de rentabiliser leurs intrusions sans voler de données ni réclamer de rançon. Leur méthode consiste à détourner des équipements connectés à Internet pour y installer un logiciel de partage de bande passante et tenter d'en tirer des revenus. Une campagne de proxyjacking sur laquelle les chercheurs en cybersécurité de GreyNoise ont enquêté, révélant la compromission d'au moins 143 appareils dans 34 pays, dont des NAS et des systèmes de vidéosurveillance.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Pour prendre le contrôle des appareils, les pirates se sont appuyés sur plusieurs vulnérabilités déjà documentées. Sur les NAS D-Link ShareCenter, ils ont notamment exploité les failles CVE-2024-3272 et CVE-2024-3273, qui permettent, lorsqu'elles sont combinées, de contourner l'authentification et d'exécuter des commandes à distance.
Les enregistreurs vidéo Ubiquiti UniFi Video ont quant à eux été compromis à travers Log4Shell (CVE-2021-44228), une vulnérabilité critique découverte fin 2021. Les chercheurs ont également identifié l'exploitation de la faille CVE-2025-31324 dans SAP NetWeaver Visual Composer, ainsi que des tentatives visant des systèmes de vidéosurveillance Hikvision et Dahua, sans pouvoir préciser les vulnérabilités utilisées dans ces derniers cas.
Une fois les équipements compromis, les attaquants y ont installé Pawns.app, un logiciel légitime conçu pour rémunérer les internautes qui acceptent de partager leur connexion Internet. Le principe repose sur un réseau de proxys résidentiels, dans lequel le trafic de clients tiers transite par les appareils participants. Les sites consultés voient alors l'adresse IP de la connexion utilisée comme relais, plutôt que celle du client à l'origine de la requête.
Dans cette campagne, les pirates ont associé les installations à leur propre compte Pawns.app, afin de percevoir les éventuelles rémunérations générées par les connexions détournées. GreyNoise a également observé que certains appareils avaient été configurés pour accepter une clé SSH contrôlée par les attaquants, leur offrant un autre moyen d'y accéder ultérieurement.
Si les intrusions et les installations frauduleuses sont documentées, les gains réalisés demeurent inconnus. Pawns.app affirme d'ailleurs avoir abandonné sa fonction de partage de bande passante en 2026, bien que son site professionnel propose toujours aux développeurs un SDK reposant sur cette technologie. Les chercheurs ne précisent pas si les pirates ont effectivement reçu des paiements.
Outre l'exploitation de la bande passante, le proxyjacking expose les propriétaires à des conséquences parfois difficiles à détecter. Les connexions détournées peuvent servir à faire transiter des activités frauduleuses, dont les requêtes semblent alors provenir de l'adresse IP de la victime. Celle-ci risque notamment de se retrouver sur des listes de blocage ou de subir des vérifications supplémentaires lors de l'accès à certains services.
Pour limiter les risques, la première précaution consiste à maintenir les NAS et les systèmes de vidéosurveillance à jour, et à désactiver les accès distants inutiles. La situation est plus délicate pour les anciens NAS D-Link et les enregistreurs UniFi Video concernés par cette campagne : leurs fabricants respectifs ayant définitivement arrêté leur maintenance, aucune mise à jour ne viendra corriger les vulnérabilités exploitées. La meilleure chose à faire reste donc de les remplacer ou, à défaut, de les isoler d'Internet en limitant leur accès au réseau local.