Der Bedrohungsakteur skynox7 hat mindestens 143 Geräte in 34 Ländern gekapert und ohne Zustimmung ihrer Besitzer in das Residential-Proxy-Netzwerk von Pawns.app eingeschleust. Das geht aus Recherchen hervor, die GreyNoise am 15. Oktober 2026 veröffentlicht hat.
So lief die Kampagne ab
GreyNoise entdeckte die Kampagne bei der Bearbeitung eines Eindringlingsversuchs, den das Unternehmen bei einer Live-Produktdemo aufgefallen war: In den Entra-ID-Anmeldeprotokollen einer Organisation tauchten Anmeldungen von Residential-IP-Adressen auf, die GreyNoise als Proxy-Infrastruktur markiert. Die Folgerecherche ergab ein Monetarisierungsschema: skynox7 nutzte bekannte Schwachstellen in internetzugänglichen Edge-Geräten aus und installierte Pawns.app, eine legitime App, die Nutzer für die Teilung ihrer Internetverbindung bezahlt, auf fremden Geräten.
Ausgenutzte Schwachstellen:
- CVE-2024-3272 und CVE-2024-3273 in D-Link-ShareCenter-NAS
- CVE-2021-44228 (Log4Shell) in Ubiquiti UniFi Video NVRs
- CVE-2025-31324 in SAP NetWeaver Visual Composer
GreyNoise beobachtete zudem Angriffe auf DVR/NVR-Geräte von Hikvision und Dahua. In einigen Fällen richtete der Angreifer zusätzlich SSH-Key-Authentifizierung als hinterlegten Rückzugsweg auf den kompromittierten Geräten ein.
Die Auszahlung
Laut GreyNoise-Analyse des Angreifer-Werkzeugs und der Sensordaten wurden die gekaperten Geräte auf ein Pawns.app-Auszahlungskonto ([email protected]) registriert, teilten 281,84 GB Bandbreite und brachten dem Angreifer rund 56,62 US-Dollar ein. Der Pawns.app-Client wurde in „gotoschool" umbenannt und startete nach jedem Neustart automatisch. Pawns.app ist ein direkter Beschaffungspartner von IPRoyal — die gekaperten Geräte dienten am Ende also als Residential-Exits für IPRoyal-Kunden.
Bedeutung für Proxy-Nutzer
Pawns.app ist ein legitimer Dienst, dessen Nutzungsbedingungen verlangen, dass die App nur auf Geräten läuft, die der Nutzer selbst rechtmäßig kontrolliert — der Angreifer akzeptierte diese Bedingungen einfach stellvertretend für die Opfer. Sogar legitime Proxy-Netzwerke leiten verdächtigen Verkehr über Knoten, die sie nicht ausreichend prüfen; das kann zu IP-Sperren für ehrliche Teilnehmer führen oder — wie der verwandte Eindringlingsfall von GreyNoise zeigte — Angreifern Anmeldungen in corporate Systeme über völlig unauffällige Residential-IPs ermöglichen. Patchen und härten von NAS-Geräten, NVRs und anderen internetzugänglichen Systemen bleibt der wirksamste Schutz gegen Proxyjacking.