# skynox7: 143 gekaperte Geräte als Pawns.app-Residential-Proxies missbraucht

Der Bedrohungsakteur **skynox7** hat mindestens 143 Geräte in 34 Ländern gekapert und ohne Zustimmung ihrer Besitzer in das Residential-Proxy-Netzwerk von Pawns.app eingeschleust. Das geht aus Recherchen hervor, die GreyNoise am 15. Oktober 2026 veröffentlicht hat.

## So lief die Kampagne ab

GreyNoise entdeckte die Kampagne bei der Bearbeitung eines Eindringlingsversuchs, den das Unternehmen bei einer Live-Produktdemo aufgefallen war: In den Entra-ID-Anmeldeprotokollen einer Organisation tauchten Anmeldungen von Residential-IP-Adressen auf, die GreyNoise als Proxy-Infrastruktur markiert. Die Folgerecherche ergab ein Monetarisierungsschema: skynox7 nutzte bekannte Schwachstellen in internetzugänglichen Edge-Geräten aus und installierte Pawns.app, eine legitime App, die Nutzer für die Teilung ihrer Internetverbindung bezahlt, auf fremden Geräten.

Ausgenutzte Schwachstellen:

- CVE-2024-3272 und CVE-2024-3273 in D-Link-ShareCenter-NAS
- CVE-2021-44228 (Log4Shell) in Ubiquiti UniFi Video NVRs
- CVE-2025-31324 in SAP NetWeaver Visual Composer

GreyNoise beobachtete zudem Angriffe auf DVR/NVR-Geräte von Hikvision und Dahua. In einigen Fällen richtete der Angreifer zusätzlich SSH-Key-Authentifizierung als hinterlegten Rückzugsweg auf den kompromittierten Geräten ein.

## Die Auszahlung

Laut GreyNoise-Analyse des Angreifer-Werkzeugs und der Sensordaten wurden die gekaperten Geräte auf ein Pawns.app-Auszahlungskonto (skynox7@proton.me) registriert, teilten 281,84 GB Bandbreite und brachten dem Angreifer rund 56,62 US-Dollar ein. Der Pawns.app-Client wurde in „gotoschool" umbenannt und startete nach jedem Neustart automatisch. Pawns.app ist ein direkter Beschaffungspartner von IPRoyal — die gekaperten Geräte dienten am Ende also als Residential-Exits für IPRoyal-Kunden.

## Bedeutung für Proxy-Nutzer

Pawns.app ist ein legitimer Dienst, dessen Nutzungsbedingungen verlangen, dass die App nur auf Geräten läuft, die der Nutzer selbst rechtmäßig kontrolliert — der Angreifer akzeptierte diese Bedingungen einfach stellvertretend für die Opfer. Sogar legitime Proxy-Netzwerke leiten verdächtigen Verkehr über Knoten, die sie nicht ausreichend prüfen; das kann zu IP-Sperren für ehrliche Teilnehmer führen oder — wie der verwandte Eindringlingsfall von GreyNoise zeigte — Angreifern Anmeldungen in corporate Systeme über völlig unauffällige Residential-IPs ermöglichen. Patchen und härten von NAS-Geräten, NVRs und anderen internetzugänglichen Systemen bleibt der wirksamste Schutz gegen Proxyjacking.

## Quellen

- [GreyNoise: skynox7: Proxyjacking Edge Devices Into Residential Proxies](https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies)
- [BleepingComputer: Hackers hijack D-Link, Ubiquiti devices to resell your stolen bandwidth](https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth/)

---

- **Kanonische URL:** https://cryptoproxiess.com/de/news/skynox7-proxyjacking-residential-proxies-greynoise/
- **Stand:** 30.10.2026
- **Datenlizenz:** CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)

Bitte zitieren: Quelle: cryptoproxiess.com (cryptovss), Stand 30.10.2026, https://cryptoproxiess.com/de/news/skynox7-proxyjacking-residential-proxies-greynoise/