A empresa de informação sobre ameaças GreyNoise identificou uma campanha de "proxyjacking" que afectou equipamentos em 34 países. Os atacantes não procuravam roubar dados nem cifrar ficheiros. Queriam usar a ligação à internet das vítimas e ganhar dinheiro com ela, revendendo-a através de uma rede comercial de proxies residenciais.
A descoberta aconteceu por acaso: os investigadores estavam a analisar actividade suspeita numa organização, cujo nome não foi divulgado, e acabaram por encontrar pelo menos 143 dispositivos comprometidos em vários pontos do mundo. O caso foi noticiado pelo BleepingComputer a 15 de Outubro de 2026.
Como funciona o esquema
O atacante instalou nos equipamentos, sem autorização dos donos, o Pawns.app. Trata-se de uma aplicação legítima que paga a quem aceita partilhar a sua ligação, deixando passar por ela tráfego de outros utilizadores. Para isso, o serviço exige endereços IP considerados fiáveis e que não estejam bloqueados. Ao instalar a aplicação em muitos sistemas alheios, o atacante terá conseguido multiplicar os pagamentos recebidos.
Para entrar nos equipamentos foram exploradas falhas já conhecidas:
- CVE-2024-3272 e CVE-2024-3273, nos servidores de ficheiros (NAS) D-Link ShareCenter;
- CVE-2021-44228, nos gravadores de vídeo Ubiquiti UniFi Video NVR;
- CVE-2025-31324, no SAP NetWeaver Visual Composer.
A GreyNoise observou também tentativas contra gravadores de vídeo Hikvision e Dahua, sem indicar que vulnerabilidades foram usadas nesses casos. Nalgumas intrusões, os atacantes configuraram ainda autenticação SSH por chave, como forma alternativa de voltar a entrar mesmo que o primeiro acesso fosse fechado.
Porque é mais grave do que parece
À primeira vista, o prejuízo resume-se a largura de banda consumida. O problema está no tráfego que passa a circular em nome da empresa. Mesmo as redes de proxy legítimas, por falta de controlo, podem encaminhar actividade suspeita através dos equipamentos dos participantes. Isso pode levar ao bloqueio do endereço IP da empresa por outros serviços ou até a suspeitas de envolvimento em actividades ilegais.
O FBI já tinha alertado para o uso deste tipo de redes em ataques de "credential stuffing" em grande escala, em que se testam credenciais roubadas contra plataformas online. Uma empresa cujo equipamento esteja a servir de ponto de passagem pode, sem saber, aparecer como origem desses ataques.
Há ainda a questão do acesso. Um equipamento onde um estranho instalou software e deixou uma porta de entrada por SSH está, na prática, sob controlo de terceiros e dentro do perímetro da rede.
Os equipamentos esquecidos
Os alvos têm um ponto em comum: são sistemas ligados directamente à internet que raramente recebem atenção depois de instalados. Um NAS no escritório ou um gravador de videovigilância costumam ficar meses ou anos sem actualizações. Várias das falhas exploradas têm anos de existência, o que mostra que o risco vem sobretudo de equipamentos por actualizar, e não de técnicas novas.
A GreyNoise disponibiliza um serviço gratuito, que exige registo, para verificar se um endereço IP faz parte de uma rede de proxy conhecida, legítima ou de legalidade duvidosa.
Em números
O que muda para as empresas
Para uma empresa, o risco não é só técnico. Se a ligação estiver a ser revendida, o endereço IP pode acabar bloqueado por fornecedores, plataformas ou serviços de email, e a empresa pode ter de explicar tráfego suspeito que não gerou. Ao mesmo tempo, um equipamento comprometido com acesso permanente por SSH pode servir de ponto de partida para chegar a outros sistemas da rede.
Este caso mostra que NAS, gravadores de vídeo e sistemas expostos à internet devem ser geridos com o mesmo cuidado que os servidores principais. São muitas vezes os mais esquecidos e, por isso, os mais fáceis de explorar.
O que recomendamos
Faça um levantamento dos equipamentos acessíveis a partir da internet, em especial NAS D-Link ShareCenter, gravadores Ubiquiti UniFi Video, Hikvision e Dahua, e instalações de SAP NetWeaver. Confirme se estão actualizados contra as falhas referidas. Os que já não recebem actualizações devem deixar de estar expostos. Verifique se existem chaves SSH ou software que ninguém instalou, mude as palavras-passe por omissão e restrinja o acesso de rede ao estritamente necessário. Use o serviço gratuito da GreyNoise para confirmar se o IP da empresa aparece associado a redes de proxy.
Se não houver na empresa quem tenha esse inventário em dia, a MCIT pode ajudar a fazer o levantamento e a definir uma rotina de actualizações para estes equipamentos.
Falar connoscoArtigo preparado com apoio de inteligência artificial, revisto e aprovado por Marco Cerruti, MCIT.
