攻击者利用存在漏洞的设备安装合法的带宽共享软件，借此劫持用户的网络连接

被入侵的系统被秘密加入代理网络，助长匿名犯罪活动的开展

该攻击行动已波及34个国家的至少143台设备，暴露出补丁管理与访问控制方面的严重疏漏

当威胁行为者入侵一套系统时，他们不一定需要安装恶意软件才能利用被攻陷的终端——他们完全可以安装合法、正常的软件，照样能借此牟利。

安全研究机构GreyNoise近期发现一起代理劫持（proxyjacking）行动，波及数十个国家的数百台设备。

代理劫持

代理劫持是一种攻击方式，攻击者会劫持设备并将其纳入代理网络。通常情况下，网络犯罪分子会入侵一台计算机，安装恶意软件，并自行搭建代理网络，随后可以出租或自用。威胁行为者始终需要"干净"且未被标记的设备和IP地址作为掩护，这使得住宅代理服务——无论是恶意的还是合法的——都备受青睐。

目前已知规模最大的恶意住宅代理网络包括IPIDEA、NetNut和Cloudrouter。这些网络现在大多已被彻底瓦解或遭到严重破坏，但在其运营期间，曾提供数十万（有时达数百万）与家庭网络连接相关联的IP地址（因此得名"住宅IP地址"）。

但恶意代理网络的搭建并不容易实施。要将一台设备纳入网络，威胁行为者需要部署恶意软件，而这类软件一经发现，就会被防病毒产品标记并隔离。在GreyNoise发现的这次新型攻击中，攻击者转而选用了一款功能类似的合法应用程序。

研究人员发现有人安装了Pawns.app，这款应用主要是一个奖励平台，用户通过完成在线调查和玩游戏来赚钱。不过，它曾提供一项带宽共享功能，允许企业客户通过用户的住宅IP地址路由其网络流量，用户借此赚取报酬。该应用在今年初已停用此功能，但在旧版本中似乎仍可正常运作。

该应用官网的一则通知写道："截至2026年，Pawns.app不再提供网络带宽共享服务，该功能已被停用，与Pawns.app不再有任何关联。"但该应用的使用条款中仍描述部分版本应用具备流量共享功能，其商业网站也仍在推广一款用于带宽变现的SDK。

瞄准D-Link

显然，有人察觉到了这一点并付诸行动。据GreyNoise透露，攻击者的目标包括D-Link ShareCenter网络存储设备、Ubiquiti UniFi视频网络录像机，以及SAP NetWeaver Visual Composer。这些设备分别存在不同漏洞：D-Link的CVE-2024-3272和CVE-2024-3273，Ubiquiti的CVE-2021-44228，以及SAP的CVE-2025-31324，攻击者利用这些漏洞来部署Pawns.app。GreyNoise还表示，攻击者同样targeted了海康威视和大华的数字/网络录像机设备，但未透露具体利用了哪些漏洞。

截至本文发布时，研究人员已在全球34个国家发现至少143台被攻陷的设备。尽管这些设备上安装的均为合法软件，但其安装过程并未获得设备所有者的知情或同意，这整个行为本质上属于违法行为。

GreyNoise警告称："尽管'通过网络赚钱'本身是自愿参与的行为，但代理劫持属于犯罪行为。所谓代理劫持，是指恶意网络行为者（MCA）强行将受害者设备纳入代理网络，以此牟取其带宽收益。"

如果你担心自己管控的设备可能遭遇类似攻击，GreyNoise推出了一项免费服务，可供用户检测自己的IP是否曾与其全球观测网格（Global Observation Grid）发生交互。研究人员表示，这可以作为判断设备是否遭遇代理劫持的潜在指标。

除了扫描IP地址外，企业还应教育员工了解安装免费应用程序所带来的风险，并强调及时为设备打补丁的重要性。此外，企业还应在身份验证日志中检测住宅代理IP地址，同时关注用户身份验证行为的异常偏差，以及地理位置之外的其他特征差异，例如设备标识符或会话标识符的不匹配情况。

Q&A

Q1：代理劫持（proxyjacking）具体是什么意思？

A：代理劫持是指攻击者入侵设备并将其纳入代理网络的攻击方式，攻击者借此隐藏自己的真实身份，利用受害者设备的"干净"IP地址进行各种网络活动，整个过程受害者并不知情。

Q2：这次攻击事件波及了哪些设备和国家？

A：此次攻击影响了D-Link ShareCenter网络存储设备、Ubiquiti UniFi视频网络录像机以及SAP NetWeaver Visual Composer等设备，目前已确认34个国家的至少143台设备遭到攻陷。

Q3：普通用户如何判断自己的设备是否遭遇了代理劫持？

A：GreyNoise推出了一项免费服务，用户可以借此检测自己的IP地址是否曾与其全球观测网格发生交互，这可以作为判断设备是否遭遇代理劫持的潜在指标。