Los routers fueron reclutados como proxies sin pedir permiso
Los investigadores de GreyNoise han descubierto una campaña de proxyjacking: la conexión ilegal de dispositivos ajenos a una red proxy para ganar dinero utilizando su conexión a Internet. En el ataque se vieron afectados al menos 143 dispositivos en 34 países. Entre ellos había unidades de almacenamiento en red D-Link ShareCenter, grabadores de vídeo Ubiquiti UniFi Video NVR y sistemas SAP NetWeaver Visual Composer. Los atacantes también intentaron vulnerar dispositivos de videovigilancia Hikvision y Dahua, aunque GreyNoise no precisó qué vulnerabilidades utilizaron contra ellos.
Un servidor proxy transmite el tráfico de Internet a través de otro dispositivo. En el caso de los residential proxies —proxies residenciales—, el tráfico pasa por la dirección IP de un usuario corriente. Estas direcciones tienen demanda: permiten ocultar el origen de las solicitudes y aparentar en la red que se es un abonado doméstico normal. Los delincuentes crean sus propias redes proxy a partir de dispositivos infectados y luego las utilizan o las alquilan. Entre las grandes redes maliciosas de este tipo figuraban IPIDEA, NetNut y Cloudrouter; a estas alturas, han sido desmanteladas o su actividad se ha visto gravemente perturbada.
Por lo general, los hackers instalan un programa malicioso para incorporar un dispositivo ajeno a una red de este tipo. Pero un antivirus puede detectarlo y eliminarlo. En la campaña estudiada por GreyNoise, los atacantes optaron por una vía menos evidente: utilizaron la aplicación legítima Pawns.app. Es conocida como una plataforma de recompensas en la que los usuarios reciben dinero por participar en encuestas en línea y jugar. Anteriormente, la aplicación también permitía ganar dinero dando a las empresas la posibilidad de dirigir tráfico de Internet a través de la dirección IP doméstica del participante.
A principios de 2026, Pawns.app dejó de ofrecer esta función. En la web de la empresa se indica que ya no se ofrece compartir la conexión a Internet y que esta opción no está vinculada a Pawns.app. Sin embargo, la función todavía se menciona en las condiciones de uso de algunas versiones de la aplicación, y la web para empresas sigue promocionando un SDK —un kit de desarrollo de software— para monetizar el ancho de banda. Según GreyNoise, los atacantes aprovecharon que, al parecer, las versiones antiguas de la aplicación siguen permitiendo compartir tráfico e instalaron Pawns.app en dispositivos vulnerados.
Para infiltrarse en los dispositivos D-Link se utilizaron las vulnerabilidades CVE-2024-3272 y CVE-2024-3273. En los sistemas Ubiquiti se empleó CVE-2021-44228, y en SAP NetWeaver Visual Composer, CVE-2025-31324. Los dispositivos Hikvision y Dahua también figuraban entre los objetivos, pero los investigadores no especificaron las vulnerabilidades concretas utilizadas contra ellos.
La aplicación puede ser legal, pero instalarla sin que lo sepa el propietario del dispositivo no se convierte en algo lícito por el hecho de que se haya utilizado un programa normal en vez de software malicioso. GreyNoise subraya que participar voluntariamente en un servicio que paga por compartir la conexión a Internet y añadir por la fuerza un dispositivo ajeno a una red proxy son cosas distintas. Lo segundo es un delito.
GreyNoise ha anunciado la creación de un servicio gratuito para comprobar si una dirección IP ha interactuado con su Global Observation Grid, un sistema global de observación de la actividad de red. Esta comprobación puede ser uno de los indicios de un posible proxyjacking, pero por sí sola no demuestra que el dispositivo esté infectado.
Se recomienda a las empresas que enseñen a sus empleados a ser prudentes al instalar aplicaciones gratuitas y que actualicen los dispositivos a tiempo para corregir vulnerabilidades conocidas. Además, las organizaciones deberían revisar los registros de inicio de sesión para detectar direcciones IP de proxies residenciales y comportamientos inusuales durante la autenticación. No basta con fijarse en la geolocalización: también hay que buscar discrepancias en los identificadores del dispositivo y de la sesión; a veces, esos detalles son precisamente los que delatan tráfico ajeno disfrazado de actividad de un usuario corriente.
PEREC.RU
La noticia habla de una campaña de proxyjacking descubierta por investigadores de GreyNoise. Los delincuentes vulneraban dispositivos de red y sistemas de servidor y, después, instalaban en ellos la aplicación legítima Pawns.app para encauzar el tráfico de Internet a través de dispositivos ajenos y utilizar sus direcciones IP domésticas. En el momento de la publicación se habían detectado al menos 143 dispositivos de este tipo en 34 países.
Entre los dispositivos atacados había unidades de almacenamiento en red D-Link ShareCenter, grabadores de vídeo Ubiquiti UniFi Video NVR y sistemas SAP NetWeaver Visual Composer. También fueron objetivo dispositivos de videovigilancia Hikvision y Dahua, aunque GreyNoise no indicó las vulnerabilidades concretas. Para atacar D-Link se utilizaron CVE-2024-3272 y CVE-2024-3273; contra Ubiquiti, CVE-2021-44228; y contra SAP NetWeaver Visual Composer, CVE-2025-31324.
Pawns.app es una plataforma que ofrece recompensas por responder encuestas y jugar. Antes también permitía a los usuarios compartir su ancho de banda: las empresas podían canalizar tráfico a través de la dirección IP doméstica del participante y pagarle por ello. A principios de 2026, Pawns.app anunció que había dejado de ofrecer esta función y que ya no estaba vinculada a la aplicación. Aun así, algunas versiones todavía la mencionan en sus condiciones de uso, y la web para empresas promociona un SDK para monetizar el ancho de banda. Según GreyNoise, los delincuentes aprovecharon versiones antiguas de la aplicación, en las que, al parecer, todavía funciona el intercambio de tráfico.
El proxyjacking consiste en incorporar por la fuerza un dispositivo ajeno a una red proxy. Un proxy transmite tráfico a través de otro dispositivo; los residential proxies utilizan la dirección IP de una conexión doméstica corriente. Estas IP son valiosas porque permiten hacer pasar solicitudes por tráfico de un usuario normal. Entre las grandes redes proxy residenciales maliciosas se mencionaban IPIDEA, NetNut y Cloudrouter. Fueron desmanteladas o su actividad quedó gravemente perturbada.
GreyNoise subraya la diferencia entre participar voluntariamente en un servicio para compartir la conexión a Internet y utilizar a escondidas un dispositivo ajeno: el proxyjacking es un delito, aunque el programa instalado sea legal. La empresa ofrece comprobar si una dirección IP ha interactuado con su Global Observation Grid. El resultado puede apuntar a un posible caso de proxyjacking, pero por sí solo no demuestra que haya habido una intrusión.
Para protegerse, se recomienda a las organizaciones actualizar los dispositivos para corregir vulnerabilidades conocidas, advertir a los empleados del peligro de instalar aplicaciones gratuitas y analizar los registros de autenticación. Conviene prestar atención a las IP de proxies residenciales, a comportamientos inusuales al iniciar sesión y a las discrepancias en los identificadores del dispositivo o de la sesión, en lugar de limitarse a comprobar la geolocalización.
