Les cybercriminels utilisent des appareils comme relais internet

Des cybercriminels exploitent des failles de sécurité connues dans des appareils connectés pour les transformer en relais internet rémunérés, selon des chercheurs en cybersécurité. Cette méthode permet aux attaquants de gagner de l'argent en faisant transiter le trafic internet par les appareils compromis, sans voler de données ni exiger de rançon aux utilisateurs.

Des vulnérabilités exploitées sur plusieurs types d'appareils

La campagne a visé plusieurs types d'appareils, notamment des serveurs de stockage en réseau (NAS) et des systèmes de vidéosurveillance. Les pirates ont exploité des vulnérabilités connues telles que CVE-2024-3272 et CVE-2024-3273 sur des appareils D-Link, ainsi que Log4Shell (CVE-2021-44228) sur des enregistreurs vidéo Ubiquiti UniFi Video. D'autres failles affectant SAP NetWeaver et les systèmes Hikvision ont également été exploitées.

Les attaquants installent un logiciel légitime de partage de bande passante

Une fois les appareils compromis, les attaquants ont installé Pawns.app, un logiciel légitime qui permet aux utilisateurs de partager leur connexion internet en échange de récompenses. Ce logiciel fait transiter le trafic par l'appareil de l'utilisateur, donnant l'impression que ce trafic provient de l'adresse IP de l'appareil plutôt que de celle de l'utilisateur.

Les pirates contrôlent l'accès grâce à des clés SSH

Les chercheurs ont noté que certains appareils étaient configurés pour accepter des clés SSH contrôlées par les attaquants, ce qui leur permet d'accéder à distance aux appareils à l'avenir. Si les gains financiers de cette campagne restent inconnus, Pawns.app affirme avoir abandonné sa fonctionnalité de partage de bande passante d'ici 2026.

Les risques pour les propriétaires d'appareils sont discrets mais graves

Les propriétaires des appareils ne remarquent pas forcément l'intrusion, mais les appareils compromis peuvent servir à acheminer des activités frauduleuses. Cela peut entraîner le blocage de l'adresse IP de la victime ou sa surveillance par des services en ligne. Pour réduire ces risques, les utilisateurs doivent mettre à jour leurs appareils et désactiver les accès à distance inutiles.

Les anciens appareils ne reçoivent plus de correctifs de sécurité

Certains des appareils concernés, comme les anciens NAS D-Link et les enregistreurs Ubiquiti UniFi Video, ne reçoivent plus de mises à jour de sécurité de la part de leurs fabricants. Il est donc impossible de corriger les vulnérabilités. La meilleure solution consiste à remplacer ces appareils ou à les isoler d'internet si un remplacement n'est pas envisageable.

Étapes pour détecter et supprimer la menace

Si un appareil est soupçonné d'être compromis, les utilisateurs doivent vérifier l'absence d'installations non autorisées de Pawns.app, examiner les clés SSH et rechercher des connexions sortantes inhabituelles. Supprimer Pawns.app ne garantit pas que l'appareil est sain. Une réinitialisation complète, un changement de mots de passe et l'application des correctifs disponibles sont nécessaires avant de pouvoir utiliser à nouveau l'appareil en toute sécurité.