해커들이 34개국에서 D-Link와 Ubiquiti 등의 인터넷 연결 장비를 침해해 피해자의 인터넷 연결을 상업용 주거용 프록시 네트워크에 활용했다. GreyNoise는 침해된 장비를 최소 143대 확인했으며, 공격자는 소유자 동의 없이 대역폭 공유 앱 Pawns.app을 설치했다.

Pawns.app은 사용자가 인터넷 연결을 공유하면 돈을 받을 수 있는 합법적인 앱이다. 계정 보유자는 신뢰할 수 있고 차단되지 않은 IP 주소를 통해 다른 사용자의 트래픽을 전달하면 보상을 받는다. 공격자는 여러 시스템에 앱을 설치해 수익을 늘렸을 가능성이 있다.

GreyNoise는 공개되지 않은 한 조직에서 의심스러운 활동을 조사하다가 이 캠페인을 발견했다. 연구진에 따르면 공격자는 다음 취약점을 이용해 네트워크 경계 장비에 침입하고 Pawns.app을 설치했다.

  • D-Link ShareCenter NAS의 CVE-2024-3272 및 CVE-2024-3273
  • Ubiquiti UniFi Video NVR의 CVE-2021-44228
  • SAP NetWeaver Visual Composer의 CVE-2025-31324

연구진은 Hikvision과 Dahua의 DVR·NVR 장비도 공격 대상이 된 것을 확인했지만, 해당 시스템에서 악용된 취약점은 밝히지 않았다. 일부 사례에서는 공격자가 백업 접근 수단으로 SSH 키 인증도 설정했다.

합법적인 프록시 네트워크라도 관리가 충분하지 않으면 자원봉사자가 운영하는 노드를 통해 의심스러운 트래픽을 전달할 수 있다. 이 경우 참여자의 IP 주소가 차단되거나 불법 행위에 연루됐다는 의혹을 받을 수 있다. 미 연방수사국(FBI)은 앞서 주거용 프록시 네트워크가 온라인 플랫폼을 대상으로 한 대규모 자격 증명 대입 공격에 이용된다고 경고했다. GreyNoise는 계정이 있으면 IP 주소가 알려진 합법적 또는 ‘그레이’ 프록시 서비스에 포함됐는지 확인할 수 있는 무료 서비스를 제공한다.

출처는 신뢰할 수 없는 곳에서 소프트웨어를 내려받지 말고, NAS와 영상 녹화기 등 인터넷에 연결된 장비를 최신 상태로 유지하라고 권고한다. 강력한 인증 정보를 사용하고, 안전하게 설정하며, 네트워크 접근을 제한하는 것도 필요하다. FBI의 주거용 프록시 관련 경고