กลุ่ม skynox7 ใช้ช่องโหว่ D-Link, Ubiquiti และ SAP ยึดอุปกรณ์ 143 เครื่องใน 34 ประเทศ ติดตั้ง Pawns.app แปลงเป็นโหนด residential proxy ขายแบนด์วิดท์

สรุปสั้น

บริษัท GreyNoise ตรวจพบแคมเปญอาชญากรรมไซเบอร์ที่เจาะอุปกรณ์ได้อย่างน้อย 143 เครื่องใน 34 ประเทศ ผ่านช่องโหว่ที่รู้จักกันแล้ว 4 รายการในผลิตภัณฑ์ 3 กลุ่ม ได้แก่ NAS รุ่น ShareCenter ของ D-Link (CVE-2024-3272 และ CVE-2024-3273), เครื่องบันทึกวิดีโอเครือข่าย UniFi Video ของ Ubiquiti (Log4Shell หรือ CVE-2021-44228) และ SAP NetWeaver Visual Composer (CVE-2025-31324) GreyNoise เชื่อมโยงแคมเปญนี้กับผู้ก่อภัยที่ใช้ชื่อ skynox7 ซึ่งหลังเจาะเข้าได้จะติดตั้งซอฟต์แวร์ Pawns.app เพื่อนำการเชื่อมต่ออินเทอร์เน็ตของเหยื่อไปเป็นโหนดในเครือข่าย residential proxy เชิงพาณิชย์และรับส่วนแบ่งรายได้ พฤติกรรมนี้เรียกว่า proxyjacking

ความน่ากังวลไม่ได้อยู่ที่ตัวซอฟต์แวร์ เพราะ Pawns.app ใช้งานถูกกฎหมายได้เมื่อเจ้าของอุปกรณ์ยินยอมแบ่งแบนด์วิดท์แลกเงิน แต่อยู่ที่การติดตั้งโดยไม่ได้รับอนุญาต และผลที่ตามมา เมื่ออุปกรณ์กลายเป็นทางผ่านของทราฟฟิกจากบุคคลอื่น กิจกรรมที่พุ่งเป้าไปยังระบบอื่นจะดูเหมือนมาจากบ้านหรือสำนักงานปกติ ทำให้การตรวจจับล็อกอินผิดปกติตามภูมิศาสตร์ใช้ไม่ได้ผล และเจ้าของอุปกรณ์ต้องรับความเสี่ยงและภาระเครือข่ายแทน ในบางกรณีผู้โจมตียังตั้ง SSH key ไว้เป็นทางเข้าสำรอง ซึ่งอยู่รอดแม้ปิดช่องโหว่เดิมแล้ว

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 16 ตุลาคม 2569 อ้างงานวิจัยของ GreyNoise ว่า skynox7 ใช้ช่องโหว่ในอุปกรณ์จัดเก็บข้อมูลเครือข่าย ระบบกล้องวงจรปิด และซอฟต์แวร์องค์กร เพื่อเข้าถึงระบบ แล้วติดตั้งซอฟต์แวร์ที่ใช้งานถูกกฎหมายได้หากเจ้าของยินยอม GreyNoise เตือนว่าไบนารีที่เกี่ยวข้องกับแคมเปญไม่ได้เป็นมัลแวร์โดยอัตโนมัติ แต่ปัญหาคือการติดตั้งและใช้งานโดยไม่ได้รับความยินยอม

การที่ SAP NetWeaver อยู่ในรายการแสดงว่าผู้ก่อภัยไม่ได้เล็งเฉพาะอุปกรณ์ผู้บริโภคหรือธุรกิจขนาดเล็ก แต่รวมถึงเซิร์ฟเวอร์แอปพลิเคชันขององค์กรด้วย นักวิจัยยังพบว่าผู้ก่อภัยพยายามเล็ง DVR และ NVR ยี่ห้ออื่นอย่าง Hikvision และ Dahua แต่รายงานไม่ได้ยืนยันว่าเจาะสำเร็จ และต้นฉบับไม่ได้ให้จำนวนอุปกรณ์แยกตามผลิตภัณฑ์ จึงไม่ควรสรุปว่าอุปกรณ์ Ubiquiti ที่เปิดสู่อินเทอร์เน็ตทุกเครื่องถูกเจาะ

GreyNoise ยกตัวอย่างการสืบสวนครั้งหนึ่งที่ผู้ใช้หลายคนยืนยันตัวตนจาก IP ของ residential proxy เดียวกัน รูปแบบที่ผิดปกตินี้นำไปสู่การตรวจสอบเพิ่มเติมจนยืนยันได้ว่าเกิดการบุกรุกร้ายแรง แม้บริษัทจะไม่เปิดเผยรายละเอียดของเหตุการณ์นั้น ผู้ก่อภัยใช้ IP 209.99.190.80 ในการเจาะอุปกรณ์ และใช้อีเมล skynox7@proton.me เป็นบัญชีรับเงินของ Pawns

วิธีการโจมตี

ขั้นแรก ผู้ก่อภัยสแกนหาอุปกรณ์ที่เปิดสู่อินเทอร์เน็ตและยังมีช่องโหว่ ช่องโหว่ D-Link เป็นปัญหา command injection ใน NAS ตระกูล ShareCenter ซึ่งหลายรุ่นหมดอายุการสนับสนุนแล้ว ช่องโหว่ Ubiquiti คือ Log4Shell ใน UniFi Video ที่ยังหลงเหลือในอุปกรณ์เก่า ส่วน CVE-2025-31324 อยู่ในคอมโพเนนต์ Metadata Uploader ของ SAP NetWeaver Visual Composer ซึ่งเปิดให้ผู้โจมตีที่ไม่ยืนยันตัวตนอัปโหลดไฟล์ที่รันได้ขึ้นระบบ

หลังเข้าถึงได้ ผู้ก่อภัยติดตั้ง Pawns.app เพื่อลงทะเบียนอุปกรณ์เข้าเครือข่าย residential proxy เชิงพาณิชย์ และในบางกรณีตั้งค่า SSH key authentication เป็นทางเข้าสำรอง ต่างจาก proxy server ทั่วไป residential proxy ส่งทราฟฟิกผ่านอุปกรณ์ในเครือข่ายบ้านหรือสำนักงานจริง IP จึงอาจตรงกับพื้นที่ที่ผู้ใช้ปกติอยู่ ทำให้ล็อกอินจาก IP นั้นไม่ถูกแจ้งเตือนหากระบบตรวจเพียงตำแหน่งที่ตั้ง

ผลกระทบ

สำหรับเจ้าของอุปกรณ์ ผลกระทบตรงคือแบนด์วิดท์ถูกใช้ และ IP ขององค์กรอาจถูกผูกกับกิจกรรมที่ไม่ได้ทำ เช่น การไล่เดารหัสผ่าน การฉ้อโกง หรือการโจมตีระบบอื่น ซึ่งอาจทำให้ IP ถูกขึ้นบัญชีดำ แต่ที่ร้ายกว่าคืออุปกรณ์ที่ถูกเจาะยังคงเป็นจุดเข้าเครือข่ายภายในผ่าน SSH key ที่ฝังไว้ และ SAP NetWeaver ที่ถูกเจาะเป็นเซิร์ฟเวอร์ที่เชื่อมกับข้อมูลธุรกิจสำคัญ

สำหรับฝ่ายป้องกันทั่วไป การที่ residential proxy เติบโตจากอุปกรณ์ที่ถูกยึดทำให้สัญญาณตำแหน่งที่ตั้งเชื่อถือได้น้อยลง IP บ้านเดียวกันอาจมีทั้งทราฟฟิกของผู้ใช้จริงและของผู้ให้บริการ proxy ปะปนกัน การตรวจจับต้องพึ่งสัญญาณอื่นประกอบ

คำแนะนำ

• ทำบัญชีอุปกรณ์ NAS, NVR และระบบ SAP ที่เปิดสู่อินเทอร์เน็ต ตรวจว่ามีรุ่นและคอมโพเนนต์ที่ระบุหรือไม่ แล้วอัปเดตหรือใช้มาตรการลดความเสี่ยงตามผู้ผลิต
• อุปกรณ์ D-Link ShareCenter และ UniFi Video ที่หมดอายุการสนับสนุน ควรนำออกจากอินเทอร์เน็ตหรือเปลี่ยนใหม่ เพราะอาจไม่มีแพตช์
• SAP NetWeaver ที่ยังแพตช์ไม่ได้ ให้จำกัดการเข้าถึง endpoint ของ Metadata Uploader
• ตรวจหาโปรเซสหรือไฟล์ของ Pawns.app และ SSH authorized_keys ที่ไม่รู้จักบนอุปกรณ์ เทียบกับ hash ในตาราง IoC
• ทบทวนล็อกการยืนยันตัวตนหา IP ของ residential proxy โดยเฉพาะเมื่อผู้ใช้หลายคนล็อกอินจาก IP เดียวกัน และใช้สัญญาณอื่นประกอบ เช่น device ID, session ID และ User-Agent ไม่พึ่งตำแหน่งที่ตั้งอย่างเดียว

Indicators of Compromise (IoCs)

หมายเหตุ: ต้นฉบับระบุว่า IP และโดเมนผ่านการ defang แล้ว ให้แปลงกลับเฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้

แหล่งอ้างอิง

• Hackers Exploit D-Link, Ubiquiti and SAP Flaws to Hijack Devices for Proxy Networks — Cyber Security News
• Proxyjacking Edge Devices into Residential Proxies — GreyNoise