Un NAS ou un enregistreur connecté peut devenir un relais Internet rémunérant un pirate, sans que son propriétaire ait accepté de partager sa connexion. GreyNoise a identifié au moins 143 appareils compromis dans 34 pays dans une campagne de ce type. L’attaquant y installe Pawns.app, un outil légitime détourné pour revendre la bande passante de ses victimes.
Pawns.app est installé sans l’accord des propriétaires
La recherche publiée le 15 octobre par GreyNoise porte sur une activité de proxyjacking. Le principe consiste à enrôler un appareil à l’insu de son propriétaire dans un réseau de relais Internet. Le trafic d’un autre utilisateur peut alors sortir par sa connexion et prendre son adresse IP publique.
Le logiciel observé est Pawns.app, un service de partage de bande passante qui peut être utilisé volontairement. Dans cette campagne, l’installation est imposée après compromission et les revenus reviennent à l’attaquant. Il faut donc distinguer le service légitime de la manière dont il est détourné : la simple présence de son nom ne transforme pas automatiquement tout utilisateur volontaire en victime.
La campagne vise certains NAS et enregistreurs vulnérables
Les chercheurs ont identifié l’exploitation de failles connues sur des NAS D-Link ShareCenter, des enregistreurs Ubiquiti UniFi Video et SAP NetWeaver Visual Composer. Ils citent notamment CVE-2024-3272 et CVE-2024-3273 pour les premiers, CVE-2021-44228 pour les enregistreurs Ubiquiti, et CVE-2025-31324 pour NetWeaver.
Des tentatives visant des enregistreurs Hikvision et Dahua ont aussi été observées, sans que la publication précise les vulnérabilités employées pour ces appareils. La liste porte sur des équipements et logiciels particuliers. Elle ne permet pas de dire que tous les routeurs D-Link, tous les produits Ubiquiti ou toutes les caméras d’une marque sont concernés.
Dans certains cas, l’attaquant a ajouté une clé d’authentification SSH pour conserver un autre moyen d’accès. La mise en place du relais peut donc s’accompagner d’une modification de la configuration, au-delà du seul programme de partage de connexion.
Le trafic d’inconnus peut sortir par votre adresse IP
Une connexion utilisée comme relais peut transporter une activité qui n’est pas celle de son propriétaire. C’est l’intérêt de ces réseaux pour des acteurs cherchant à paraître connectés depuis une adresse résidentielle. GreyNoise explique qu’une adresse située dans le bon pays, ou même dans une zone géographique attendue, ne suffit plus à établir qu’une connexion à un compte est légitime.
Le propriétaire prête alors son adresse IP sans l’avoir choisi. Une lenteur peut attirer l’attention, mais elle ne permet pas de diagnostiquer cette campagne. Les accès à l’appareil, sa version et sa configuration apportent des éléments bien plus précis.
Quels appareils et quelles versions faut-il vérifier ?
Commencez par identifier l’appareil réellement joignable depuis Internet : NAS, enregistreur ou service exposé. Relevez sa version et les correctifs proposés pour cette référence exacte. Les références des failles permettent de viser le bon produit, au lieu de traiter indistinctement tous les appareils du réseau.
GreyNoise recommande notamment de maintenir les équipements à jour et de surveiller les connexions inhabituelles. En entreprise, le rapprochement entre plusieurs comptes utilisant une même adresse résidentielle peut aussi justifier une investigation. Pour un appareil déjà suspect, l’analyse des accès et de la configuration reste nécessaire : appliquer une mise à jour et vérifier l’absence d’un accès persistant sont deux contrôles différents.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
