Vos NAS et caméras peuvent servir de relais aux pirates
Une campagne de proxyjacking exploite des NAS et des systèmes de vidéosurveillance mal protégés pour revendre la bande passante de leurs propriétaires.
Par
Anaïs Grandjean
En bref
- Des pirates installent un logiciel de partage de connexion sur des équipements vulnérables, sans voler de données ni demander de rançon.
- GreyNoise a recensé au moins 143 appareils compromis dans 34 pays.
- Les NAS D-Link ShareCenter et les enregistreurs Ubiquiti UniFi Video figurent parmi les modèles visés.
- Les modèles abandonnés par leur fabricant ne recevront aucun correctif : remplacement ou isolement du réseau local.
Oui, un NAS D-Link ou un enregistreur Ubiquiti ancien et mal protégé peut être transformé en relais Internet au profit de pirates, sans que vous remarquiez quoi que ce soit. Clubic décrit dans Clubic une campagne de proxyjacking qui rentabilise des intrusions sans dérober de données ni exiger de rançon.
Une campagne qui ne cherche ni vos fichiers ni une rançon
Les chercheurs en cybersécurité de GreyNoise ont enquêté sur cette opération. Leur constat porte sur des NAS et des systèmes de vidéosurveillance, dont la connexion est détournée pour générer des revenus.
Comment une connexion devient une source de revenus
Une fois l’appareil compromis, les attaquants y installent Pawns.app, un logiciel légitime qui rémunère les internautes acceptant de partager leur connexion. Il repose sur un réseau de proxys résidentiels : le trafic de clients tiers passe par les appareils participants, et les sites visités voient l’adresse IP de la connexion relais plutôt que celle du client d’origine.
Les pirates ont rattaché ces installations à leur propre compte Pawns.app, pour toucher les rémunérations éventuellement générées. GreyNoise a aussi observé que certains appareils acceptaient une clé SSH contrôlée par les attaquants, ce qui leur ouvre une autre porte pour revenir plus tard.
Les gains restent inconnus : les chercheurs ne disent pas si des paiements ont réellement été reçus. Pawns.app affirme de son côté avoir abandonné le partage de bande passante en 2026, même si son site professionnel propose encore aux développeurs un SDK fondé sur cette technologie.
Quels appareils et quelles failles repérer
| Matériel | Faille exploitée |
|---|---|
| NAS D-Link ShareCenter | CVE-2024-3272 et CVE-2024-3273, qui combinées contournent l’authentification et permettent d’exécuter des commandes à distance |
| Enregistreurs Ubiquiti UniFi Video | Log4Shell (CVE-2021-44228), vulnérabilité critique découverte fin 2021 |
| SAP NetWeaver Visual Composer | CVE-2025-31324 |
| Systèmes Hikvision et Dahua | Tentatives observées, failles utilisées non précisées |
Ce que risque votre adresse IP
Au-delà de la bande passante prélevée, les connexions détournées peuvent faire transiter des activités frauduleuses. Leurs requêtes semblent alors venir de votre adresse IP, qui risque de figurer sur des listes de blocage ou de subir des vérifications supplémentaires lors de l’accès à certains services.
Les gestes à appliquer
La première précaution consiste à tenir à jour les NAS et les systèmes de vidéosurveillance, et à désactiver les accès distants inutiles. Ensuite, selon votre situation :
- Si votre modèle D-Link ou UniFi Video n’est plus maintenu, aucune mise à jour ne corrigera ses failles : remplacez-le ou, à défaut, coupez son accès à Internet en le limitant au réseau local.
- En cas de doute, contrôlez les logiciels installés, les clés SSH autorisées et les connexions sortantes inhabituelles.
- Une installation Pawns.app que vous n’avez pas autorisée est un indice de compromission, mais la supprimer ne garantit pas que l’appareil soit sain.
- Si les pirates ont gardé un accès, réinitialisez complètement l’appareil, changez les identifiants et appliquez les correctifs disponibles avant de le remettre en service.
Ces conseils valent pour les appareils réellement exposés à Internet : un équipement déjà limité au réseau local est moins concerné par ces accès distants.
Photo : cottonbro studio / Pexels
