Des pirates transforment 143 NAS D-Link et NVR Ubiquiti en nœuds de proxy résidentiel
Le 15 octobre 2026, GreyNoise documente une campagne de proxyjacking qui installe Pawns.app, une application légitime de partage de bande passante, sur des NAS D-Link et des NVR Ubiquiti compromis dans 34 pays. Vérifiez si vos appareils de bord sont exposés et si votre adresse IP appartient déjà à un réseau de proxy résidentiel.
15 octobre 2026. La société de renseignement sur les menaces GreyNoise publie son analyse d’une campagne de proxyjacking qui a monétisé les connexions Internet de 143 appareils dans 34 pays. 14 octobre 2026. Les chercheurs repèrent l’activité en enquêtant sur un trafic suspect au sein d’une organisation cliente. Octobre 2026. L’opérateur exploite des failles connues — dont Log4Shell — pour installer Pawns.app sur des boîtiers de bord. Pourquoi c’est important : l’attaquant ne vole pas de données et ne chiffre rien. Il détourne silencieusement votre bande passante pour la revendre, et votre adresse IP finit dans un pool de proxy résidentiel que d’autres criminels utiliseront.
La mécanique : monétiser une connexion volée sans jamais se faire remarquer
Le proxyjacking est le cousin discret du cryptojacking. Au lieu de brûler le CPU de la victime pour miner de la monnaie, l’attaquant installe un logiciel de partage de connexion et encaisse les revenus générés par le trafic qui transite par la machine. Ici, l’application déposée est Pawns.app, un service parfaitement légitime qui rémunère ses utilisateurs pour le passage de trafic à travers leur réseau — à condition que l’adresse IP soit « de confiance » et ne figure sur aucune liste de blocage.
Le détournement est d’une efficacité redoutable. Pawns.app est signé, documenté, disponible sur les boutiques officielles. Une fois installé sur plusieurs systèmes à l’insu de leurs propriétaires, il accumule les paiements au nom du compte de l’attaquant. Le propriétaire légitime, lui, ne voit rien : pas de ralentissement perceptible du réseau, pas de fenêtre suspecte, pas de rançon. Juste une adresse IP résidentielle de plus dans un pool commercial.
C’est précisément le danger. Les proxies résidentiels sont la monnaie d’échange du crime organisé en ligne. Le FBI a déjà averti que ces réseaux servent à des campagnes massives de credential stuffing contre des plateformes en ligne : un trafic qui semble provenir de foyers réels, réparti sur des milliers d’adresses, contourne bien plus facilement les défenses anti-fraude qu’un trafic émis depuis un datacenter.
Les failles exploitées : un inventaire de ce qui traîne sans correctif
GreyNoise dresse la liste des vulnérabilités utilisées pour pénétrer les appareils de bord. Aucune n’est récente, et c’est le cœur du problème.
- CVE-2024-3272 et CVE-2024-3273 touchent les NAS D-Link ShareCenter — deux injections de commande en pré-authentification, notées CVSS 9,8, qui exploitaient un compte de service codé en dur (
messagebus, mot de passe vide) sur les boîtiers DNS-320L et DNS-325. Signalées début avril 2024, elles restent actives sur les appareils jamais mis à jour. - CVE-2021-44228, la fameuse Log4Shell, est exploitée contre le NVR Ubiquiti UniFi Video. Une faille de 2021, corrigée depuis des années, encore vivante sur des enregistreurs vidéo oubliés dans un placard.
- CVE-2025-31324 concerne SAP NetWeaver Visual Composer, preuve que la campagne ratisse large au-delà du seul matériel réseau grand public.
Les chercheurs ont aussi observé un ciblage d’enregistreurs Hikvision et Dahua, sans préciser les failles utilisées. Le point commun de tout ce périmètre : des appareils connectés à Internet, rarement patchés, souvent livrés avec des identifiants par défaut.
L’attaquant ne s’arrête pas à l’installation. Dans certains cas, GreyNoise a constaté que des clés SSH étaient configurées comme méthode d’accès de secours. C’est la marque d’un opérateur qui compte rester, et qui prépare un retour discret après une éventuelle désinfection.
Pourquoi cette campagne passe inaperçue
Le proxyjacking est plus difficile à repérer que ses cousins. Le cryptojacking fait chauffer le processeur et grimper la facture électrique ; le ransomware chiffre les fichiers et s’affiche. Ici, rien de tout cela. Pawns.app consomme peu de ressources, ne produit aucun message, et le trafic sortant qu’il génère ressemble à s’y méprendre à de la navigation domestique ordinaire.
C’est d’ailleurs ainsi que la campagne a été découverte. GreyNoise enquêtait sur un trafic anormal au sein d’une organisation, pas sur un signalement de victime. Les appareils enrôlés n’avaient aucune raison d’alerter leurs propriétaires : une application signée, un service en ligne connu, une rémunération qui tombe sur le compte de l’attaquant. Le seul indice tangible, c’est l’adresse IP qui se met à figurer dans des pools de proxy — et encore faut-il savoir où chercher.
La configuration de clés SSH en accès de secours renforce cette discrétion. Même si un administrateur remarque le processus Pawns.app et le supprime, l’attaquant conserve une porte de retour, prête à réinstaller la charge utile au prochain passage. La leçon vaut pour toutes les formes de monétisation silencieuse d’un appareil de bord : ce que l’on ne cherche pas activement, on ne le trouve pas.
Pourquoi votre adresse IP est le vrai butin
La charge utile de cette campagne n’est pas un malware exotique. C’est votre adresse IP résidentielle, transformée en marchandise. Le modèle économique de Pawns.app et de ses concurrents repose sur la confiance que les plateformes accordent aux connexions domestiques : une requête venue d’une IP résidentielle est présumée légitime.
Une fois l’appareil enrôlé, son adresse peut acheminer des opérations de credential stuffing, du scraping de sites marchands, de la fraude publicitaire ou du contournement géographique. Le propriétaire, lui, porte la responsabilité apparente : son IP peut être bloquée par des services qu’il utilise, ou signalée pour une activité qu’il n’a jamais initiée.
GreyNoise propose un service gratuit — avec compte — pour vérifier si une adresse IP figure déjà dans un réseau de proxy connu, légitime ou « gris ». C’est le premier réflexe à avoir, avant même de chercher un correctif.
Ce qu’il faut faire, dans l’ordre
Le remède n’a rien de spectaculaire, mais il est précis. La campagne ne vise pas les infrastructures d’entreprise sophistiquées : elle ramasse les boîtiers de bord que personne ne regarde.
# 1. Inventaire des appareils exposés sur l'Internet (NAS, NVR/DVR, caméras)
# — vérifiez que seuls les services nécessaires sont publiés.
# 2. Détecter une écoute suspecte sur le boîtier (clés SSH ajoutées) :
cat ~/.ssh/authorized_keys # sur le NAS/NVR, chercher des clés inconnues
# 3. Vérifier son adresse IP publique auprès du service GreyNoise :
curl https://api.greynoise.io/v3/community/<IP_PUBLIQUE>La priorité va aux appareils qui cumulent deux défauts : exposés à Internet et non mis à jour. Un NAS D-Link ShareCenter ou un NVR Ubiquiti UniFi Video branché directement sur le box sans correctif est une cible désignée. Mettez-les à jour, retirez-les de l’exposition publique quand c’est possible, et segmentez-les derrière un VLAN dédié aux objets connectés.
Pour les organisations, la leçon dépasse le cas Pawns.app. Tout appareil de bord qui n’est ni inventorié ni patché est un actif que quelqu’un finira par monétiser à votre place — que ce soit en minant, en proxifiant ou en chiffrant. Le proxyjacking est simplement la variante la plus silencieuse du trio.
Verdict
Si vous gérez des NAS ou des enregistreurs vidéo exposés, traitez cette campagne comme un rappel à l’ordre : corrigez CVE-2024-3272/3273 et Log4Shell sans attendre, car ces failles sont les portes d’entrée documentées de l’opération, et vérifiez votre IP chez GreyNoise. Si vos appareils sont à jour et derrière un NAT sans redirection, le risque direct est faible — mais ajoutez la question du proxy résidentiel à votre threat model : une adresse IP d’entreprise volée peut servir à des attaques dont vous porterez l’apparence. Dans les deux cas, l’ordre est le même : inventorier, patcher, segmenter, vérifier l’IP.