Результаты расследования американская компания GreyNoise опубликовала 15 октября 2026 года. История привлекла внимание специалистов по кибербезопасности не только масштабом атаки, но и её экономической моделью. Преступнику даже не потребовалось создавать собственный сервис продажи прокси: он попытался использовать уже существующую коммерческую инфраструктуру, установив её программное обеспечение на взломанное оборудование.
При этом получить доступ к устройствам удалось с помощью давно известных уязвимостей, для которых специалисты по безопасности уже выпускали предупреждения.
Вместо вируса-вымогателя — программа для заработка
Обычно при взломе серверов злоумышленники пытаются похитить конфиденциальные данные, зашифровать информацию ради выкупа или использовать вычислительную мощность оборудования для добычи криптовалюты.
В обнаруженной кампании механизм оказался другим.
Атакующий устанавливал на устройства программу Pawns.app, которая исторически позволяла пользователям получать вознаграждение за предоставление своего интернет-соединения третьим лицам.
Принцип работы подобных сервисов сравнительно прост. Человек добровольно подключает компьютер или другое устройство к специальной сети. Клиенты прокси-провайдера получают возможность направлять через него свои интернет-запросы, а владелец подключения получает плату за предоставленный ресурс.
Для внешних сайтов запрос выглядит так, словно его отправил обычный пользователь из соответствующего региона.
Такие подключения востребованы, например, для проверки рекламных объявлений в разных странах, анализа поисковой выдачи и автоматизированного сбора общедоступной информации.
Однако обнаруженный GreyNoise оператор действовал без разрешения владельцев оборудования. Сначала он взламывал устройство, затем устанавливал прокси-клиент и связывал его со своей учётной записью.
Таким образом, потенциальный доход предназначался злоумышленнику, тогда как оборудование и интернет-подключение принадлежали другим людям и организациям.
Подобная схема получила название proxyjacking — незаконное использование чужих устройств и сетевых ресурсов для предоставления прокси-доступа.
Но есть принципиальное различие между попыткой заработать и доказанным получением прибыли. Исследователи обнаружили взломанные устройства, установленное программное обеспечение и учётную запись, связанную с выплатами. Данных о фактически полученных злоумышленником деньгах пока нет.
Как хакер взломал сразу 143 устройства
Атака затронула оборудование разных производителей. Преступник не ограничивался одной операционной системой или конкретным типом устройства.
Согласно техническому разбору BleepingComputer, для проникновения использовались известные уязвимости в сетевых хранилищах, системах видеонаблюдения и корпоративном программном обеспечении.
В числе подтверждённых целей оказались сетевые накопители D-Link ShareCenter, уязвимые к CVE-2024-3272 и CVE-2024-3273. Эти проблемы безопасности позволяют атакующим вмешиваться в работу незащищённого оборудования.
Другим направлением стали видеорегистраторы Ubiquiti UniFi Video NVR. Для атак использовалась знаменитая уязвимость Log4Shell, зарегистрированная как CVE-2021-44228 ещё в декабре 2021 года.
Третьей категорией стали серверы SAP NetWeaver Visual Composer с уязвимостью CVE-2025-31324.
Последняя особенно опасна для корпоративной инфраструктуры. Американское агентство CISA ранее включило её в каталог уязвимостей, которые уже эксплуатируются злоумышленниками. Проблема позволяет неавторизованному атакующему загружать на сервер потенциально вредоносные исполняемые файлы.
Исследователи также заметили попытки атаковать видеорегистраторы Hikvision и Dahua. Однако подтверждения успешного взлома этих устройств в опубликованном отчёте нет.
Всего GreyNoise обнаружила как минимум 143 скомпрометированных устройства в 34 странах. Это нижняя граница установленного масштаба кампании, а не окончательное количество всех пострадавших.
Информация о точном распределении атак по странам не раскрывается.
Преступник оставил себе запасной вход
Наиболее тревожная деталь расследования связана с действиями хакера после первоначального проникновения.
В некоторых случаях злоумышленник не ограничивался установкой Pawns.app. Он дополнительно прописывал на взломанном оборудовании собственный SSH-ключ.
SSH используется для защищённого удалённого доступа к компьютерам и серверам. При корректной настройке он позволяет администратору управлять оборудованием через зашифрованное соединение.
Но если в список разрешённых ключей добавлен ключ постороннего человека, тот может получить возможность снова подключиться к системе.
Получается, что простое удаление программы для обмена трафиком не обязательно избавит владельца от последствий взлома.
Даже после исчезновения подозрительного приложения дополнительный доступ может сохраниться.
Для системных администраторов это означает необходимость проверять не только запущенные процессы, но и изменения в конфигурации удалённого доступа.
Особенно опасна такая ситуация для сетевых накопителей и видеорегистраторов, которые часто работают круглосуточно и могут годами оставаться без полноценного обслуживания.
Кто платил хакеру и сколько он заработал
В расследовании фигурирует идентификатор skynox7, связанный с учётной записью для получения вознаграждения в Pawns.app.
Исследователям удалось установить адрес, использовавшийся для атак, и электронную почту, привязанную к аккаунту предполагаемого получателя выплат.
Однако личность оператора кампании не раскрыта.
Также неизвестно, сколько трафика успели передать взломанные устройства и были ли вообще проведены реальные выплаты.
Это существенное обстоятельство, поскольку сама Pawns.app в официальной информации о компании утверждает, что в 2026 году прекратила предоставлять обычным пользователям функцию заработка на передаче интернет-трафика.
При этом коммерческий провайдер IPRoyal продолжает указывать Pawns.app среди источников IP-адресов для своей резидентной прокси-сети.
Эти сведения не обязательно противоречат друг другу. Потребительская функция могла быть закрыта, тогда как отдельные корпоративные инструменты и прежние версии программного обеспечения продолжили существовать.
Но они не позволяют автоматически сделать вывод, что все взломанные устройства действительно принимали платный трафик.
Независимые специалисты Zerot Security, изучившие коммерческую сторону инцидента, 16 октября подчеркнули: факт установки прокси-клиента и наличие аккаунта для выплат не доказывают ни прохождения платных запросов, ни получения денег.
Таким образом, подтверждённой остаётся сама схема захвата оборудования и попытки коммерциализации чужого интернет-соединения.
Почему украденный интернет опаснее, чем кажется
На первый взгляд подобная атака может показаться относительно безобидной. Хакер не требует выкуп, не блокирует доступ к файлам и не обязательно вмешивается в обычную работу устройства.
Но проблема значительно серьёзнее, чем дополнительный расход трафика.
Когда чужое устройство превращается в прокси-сервер, сторонние люди потенциально получают возможность выходить в интернет с IP-адреса его владельца.
Если через такое подключение отправляются подозрительные запросы, атакуются веб-сервисы или проводится автоматизированный подбор учётных данных, журналы серверов могут указывать на IP-адрес пострадавшего.
Для сайтов и систем защиты этот адрес выглядит как источник активности, хотя фактический инициатор находится совершенно в другом месте.
В результате IP-адрес может попасть в блокировки или списки подозрительных источников. У организации также могут возникнуть дополнительные сложности при расследовании сетевых инцидентов.
Причём владелец устройства способен долго не замечать происходящего: прокси-клиент не обязательно создаёт большую вычислительную нагрузку.
Именно поэтому использование интернет-канала отличается от привычного скрытого майнинга криптовалюты. В последнем случае поводом для подозрений часто становятся высокая загрузка процессора, нагрев и возросшее энергопотребление.
При proxyjacking таких очевидных признаков может не быть.
Даже домашний IP-адрес больше не означает безопасное подключение
GreyNoise обнаружила интересную связь между злоупотреблениями прокси и реальными взломами корпоративных систем.
Во время проверки безопасности одной организации специалисты заметили подозрительные входы в Microsoft Entra ID — платформу управления корпоративными учётными записями.
При этом подключения поступали с IP-адресов обычных интернет-провайдеров. Географически они выглядели вполне правдоподобно и не напоминали классическую атаку с зарубежного сервера.
Первоначально это затрудняло обнаружение проблемы.
Затем специалисты выяснили, что несколько пользователей проходили аутентификацию через один и тот же резидентный прокси-адрес. Дополнительная проверка позволила организации подтвердить серьёзное вторжение.
Важная оговорка: GreyNoise описывает этот случай как отдельное расследование. Доказательств того, что в нём использовались именно 143 устройства из кампании skynox7, нет.
Но сам механизм показывает, почему коммерческие прокси стали привлекательны для киберпреступников.
Системы безопасности нередко оценивают подозрительность подключения по его географии и репутации IP-адреса. Если вход выполняется с адреса обычного провайдера в ожидаемом городе, его бывает труднее отличить от законной активности.
Поэтому GreyNoise рекомендует учитывать не только геолокацию, но и идентификаторы устройств, характеристики браузера, историю сеансов и поведение пользователей после входа.
Как проверить, не используют ли ваш компьютер или сервер
Для обычного владельца домашнего компьютера главный способ защиты — своевременно устанавливать обновления и ограничивать доступ к устройствам из интернета.
Но особенно внимательно стоит проверить сетевые хранилища, видеорегистраторы, серверы и другое оборудование, доступное извне.
Администраторам необходимо убедиться, что на устройствах отсутствуют неизвестные программы, предназначенные для организации прокси-соединений, и посторонние SSH-ключи. Также следует проверить необычные исходящие сетевые подключения и изменения параметров доступа.
Если обнаружены признаки компрометации, одного удаления подозрительного приложения недостаточно. Нужно устранить использованную уязвимость, проверить сохранённые механизмы удалённого доступа и оценить, какие ещё действия мог выполнить атакующий.
GreyNoise предоставляет сервис проверки IP-адресов по собственной базе сетевых наблюдений. Он может помочь обнаружить признаки подозрительной активности, хотя сам по себе результат такой проверки не является окончательным доказательством взлома.
Именно это делает историю с 143 устройствами показательной.
Для преступника ценностью оказался не пароль, документ или вычислительная мощность сервера, а сам факт наличия у него подключения к интернету.
Хакер попытался превратить чужую инфраструктуру в товар, используя легальное программное обеспечение и существующую коммерческую модель. А поскольку такие атаки могут почти не влиять на привычную работу оборудования, владельцы способны заметить их намного позже первоначального проникновения.
Следите за новыми хакерскими атаками, расследованиями киберпреступлений и уязвимостями популярных устройств в телеграм-канале Digital Report.
- Хакер взломал 143 устройства в 34 странах, чтобы зарабатывать на чужом интернете - 18/10/2026 12:45
- Матч «Реал Бетис» – «Барселона» завершился со счетом 2:5: каталонцы повторили вечный рекорд - 18/10/2026 12:29
- Беспилотники атаковали дата-центр VK в Ленобласти - 18/10/2026 12:15
