Peretas Bajak Perangkat D-Link dan Ubiquiti untuk Menjual Kembali Bandwidth Internet Korban

Sebuah kampanye serangan siber berjenis proxyjacking dilaporkan telah menginfeksi berbagai perangkat jaringan di 34 negara, di mana pelaku memonetisasi koneksi internet para korban secara diam-diam melalui jaringan residential proxy komersial.

Dalam operasinya, pelaku memasang Pawns.app—sebuah aplikasi berbagi bandwidth resmi yang memungkinkan pengguna mendapatkan imbalan uang dengan menyewakan koneksi internet mereka—ke dalam perangkat korban tanpa sepengetahuan maupun izin pemiliknya.

Secara normal, pemilik akun Pawns.app akan memperoleh bayaran karena mengizinkan lalu lintas data (traffic) dari pengguna lain mengalir melewati jaringan internet mereka, dengan syarat koneksi tersebut berjalan pada alamat IP tepercaya yang tidak terblokir. Dengan menyusupkan aplikasi tersebut ke banyak sistem sekaligus secara ilegal, penyerang diduga kuat berupaya mengumpulkan keuntungan finansial dalam jumlah besar.

Eksploitasi Celah Keamanan pada Perangkat NAS, NVR, hingga Server SAP

Kampanye pembajakan ini pertama kali diungkap oleh perusahaan intelijen ancaman siber GreyNoise saat tengah menyelidiki aktivitas mencurigakan pada sebuah organisasi. Dari hasil penelusuran lebih lanjut, tim peneliti berhasil mengidentifikasi sedikitnya 143 perangkat yang telah terkompromi di seluruh dunia.

Menurut laporan peneliti GreyNoise, pelaku memanfaatkan sejumlah celah keamanan (vulnerability) yang sudah dikenal untuk membobol perangkat edge dan memasang perangkat lunak Pawns.app di dalamnya, meliputi:

• CVE-2024-3272 dan CVE-2024-3273 pada perangkat penyimpanan jaringan D-Link ShareCenter NAS
• CVE-2021-44228 (Log4Shell) pada perangkat perekam kamera pengawas Ubiquiti UniFi Video NVR
• CVE-2025-31324 pada sistem SAP NetWeaver Visual Composer

Selain ketiga target di atas, para peneliti juga mengamati adanya upaya penargetan terhadap perangkat perekam video digital (DVR/NVR) buatan Hikvision dan Dahua, meskipun rincian kode kerentanan yang dieksploitasi pada kedua merek tersebut tidak disebutkan secara spesifik.

Lebih lanjut, GreyNoise menemukan bahwa dalam beberapa kasus, peretas turut mengonfigurasi autentikasi kunci SSH (SSH key authentication) pada perangkat korban sebagai jalur akses cadangan (backdoor) agar tetap dapat mengendalikan sistem meskipun celah utamanya telah ditutup.

Risiko Pemblokiran IP dan Langkah Pencegahan

Penyalahgunaan jaringan proxy semacam ini membawa risiko serius bagi pemilik perangkat. Sekalipun jaringan proxy yang digunakan beroperasi secara legal, kurangnya pengawasan ketat dapat menyebabkan lalu lintas mencurigakan atau berbahaya ikut disalurkan melalui node milik korban. Hal ini berpotensi mengakibatkan alamat IP pengguna masuk ke dalam daftar hitam (blocklist) berbagai layanan web, atau bahkan menyeret pemilik koneksi ke dalam tuduhan keterlibatan aktivitas ilegal di dunia maya.

Sebelumnya, Biro Investigasi Federal AS (FBI) juga telah mengeluarkan peringatan mengenai maraknya pemanfaatan jaringan residential proxy semacam ini oleh penjahat siber untuk melancarkan serangan credential stuffing berskala besar terhadap berbagai platform daring.

Saat ini, GreyNoise menyediakan layanan pemeriksaan gratis (memerlukan pendaftaran akun) bagi para administrator maupun pengguna umum untuk mengecek apakah alamat IP publik mereka tercatat sebagai bagian dari layanan proxy komersial atau jaringan gray proxy.

Guna menghindari penyusupan serupa, pengguna sangat disarankan untuk tidak mengunduh perangkat lunak dari sumber yang tidak tepercaya, mengingat program gratis bajakan kerap disisipi malware yang mendaftarkan perangkat korban ke dalam jaringan residential proxy secara otomatis. Selain itu, mengingat pelaku ancaman sangat sering mengeksploitasi kerentanan lawas pada perangkat yang terhubung langsung ke internet, langkah pencegahan paling krusial adalah rutin memperbarui firmware pada perangkat NAS, DVR/NVR, serta sistem internet-facing lainnya, sembari menerapkan kata sandi yang kuat, konfigurasi yang aman, dan pembatasan akses jaringan dari luar.

Sumber: GreyNoise