Am 15. Oktober 2026 hat die Threat-Intelligence-Firma GreyNoise eine Proxyjacking-Kampagne dokumentiert, bei der Angreifer mindestens 143 Geräte in 34 Ländern ohne Wissen der Besitzer in ein kommerzielles Residential-Proxy-Netzwerk eingebunden haben (BleepingComputer). Die Methode ist schlicht: Statt Malware zu installieren, setzen die Angreifer die legitime App Pawns.app auf, die Bandbreite gegen Geld teilt. Mehrere Geräte unter einem Account, und die Auszahlung wird entsprechend größer.

Betroffen sind vor allem Edge-Geräte, die in Betrieben mit 10 bis 100 Mitarbeitern allgegenwärtig sind: D-Link ShareCenter NAS, Ubiquiti UniFi Video NVR, SAP NetWeaver Visual Composer, aber auch DVR- und NVR-Geräte von Hikvision und Dahua. Wer so ein Gerät im Netz stehen hat und nicht auf dem aktuellen Patch-Stand ist, merkt den Missbrauch wahrscheinlich erst, wenn die eigene IP-Adresse auf Blocklisten landet oder die Leitung spürbar langsamer wird. Im schlechtesten Fall läuft illegaler Traffic unter der eigenen IP – der FBI hat bereits vor solchen Szenarien über Residential-Proxy-Netze gewarnt. Das ist der Punkt, an dem es für einen Betrieb richtig teuer wird: nicht weil Daten gestohlen wurden, sondern weil die IP-Adresse mit Aktivitäten in Verbindung gebracht wird, die man nie durchgeführt hat.

Welche Lücken die Angreifer genutzt haben

Die Angreifer haben drei bekannte Schwachstellen ausgenutzt: CVE-2024-3272 und CVE-2024-3273 in D-Link ShareCenter NAS, CVE-2021-44228 in Ubiquiti UniFi Video NVR und CVE-2025-31324 in SAP NetWeaver Visual Composer. TechEchelon bezeichnet CVE-2021-44228 ausdrücklich als die „well-documented Log4Shell vulnerability“. Für die Hikvision- und Dahua-Geräte nannte GreyNoise keine konkreten CVE-Nummern.

Ein Detail, das über reinen Bandbreitendiebstahl hinausgeht: In manchen Fällen haben die Angreifer SSH-Key-Authentifizierung als Backup-Zugriff eingerichtet. Selbst wenn die anfängliche Lücke gepatcht wird, bleibt ein zweiter, unsichtbarer Zugangskanal bestehen. Das ist der Teil, den man beim Patching leicht übersieht.

Und dann ist da noch Pawns.app selbst. Laut TechRadar hat die App die Bandbreiten-Freigabe Anfang 2026 eingestellt – „As of 2026, Pawns.app does not offer internet bandwidth sharing“ steht auf der Website. Ältere Versionen funktionieren aber weiter, und die Geschäfts-Website bewirbt nach wie vor ein SDK für Bandbreiten-Monetarisierung. Genau das haben die Angreifer ausgenutzt: eine legale App, die in der aktuellen Version die Funktion nicht mehr anbietet, aber in der installierten Version noch kann.

Was jetzt zu tun ist

1. Prüfen, ob die eigenen Edge-Geräte (NAS, NVR, Visual Composer) die genannten CVEs betreffen, und die verfügbaren Patches des Herstellers einspielen. Bei D-Link, Ubiquiti und SAP stehen die Patches bereit. Wer sie seit Monaten nicht eingespielt hat, sollte das jetzt nachholen – an dieser Stelle würde ich nicht warten.
2. Auf allen betroffenen Geräten die SSH-Zugänge prüfen: Gibt es unbekannte Keys in der Datei authorized_keys? Falls ja, entfernen und die SSH-Konfiguration auf den Standardzustand zurücksetzen. OffSeq empfiehlt zusätzlich, in den Authentifizierungs-Logs nach Auffälligkeiten zu suchen – ungewöhnliche Geräte-IDs, Session-Abweichungen, Logins aus fremden Standorten.
3. Die eigene IP-Adresse über den kostenlosen Lookup-Dienst von GreyNoise (Konto erforderlich) auf bekannte Proxy-Dienste prüfen. Das ist ein möglicher Indikator für Proxyjacking, kein Beweis – aber ein guter erster Schritt, um auszuschließen, dass die eigene Adresse in einem solchen Netz läuft.

Das Ärgerliche an der Sache: Es ist kein Ransomware-Angriff, kein Datenabfluss, kein Drama. Es ist ein leiser Prozess, der sich über Wochen einnistet, bis jemand merkt, dass die Leitung nicht mehr die eigene ist. Wer jetzt unsicher ist, ob die eigenen Edge-Geräte sauber laufen, hat damit schon die richtige Frage gestellt. Wenn Sie möchten, dass wir einmal Ihre NAS-Geräte, NVRs und Netzwerkkonfiguration durchgehen und prüfen, ob alles sauber ist, melden Sie sich einfach bei uns: Kontakt.

Beitragsbild: Jakub Zerdzicki auf Pexels