La campagna skynox7 sfrutta vulnerabilità note per trasformare NAS e NVR in nodi proxy. Come individuare i dispositivi compromessi e ripulire la rete aziendale.
Il 15 ottobre 2026 i ricercatori di GreyNoise e BleepingComputer hanno documentato la campagna "skynox7", un attacco globale che trasforma apparati perimetrali in nodi per la rivendita illecita di banda internet. Se gestite un'infrastruttura con router Ubiquiti D-Link violati proxyjacking, la priorità è disconnettere le interfacce di gestione da Internet e verificare la presenza di accessi non autorizzati. L'attacco ha già compromesso almeno 143 dispositivi in 34 Paesi, sfruttando vulnerabilità note come le CVE-2024-3272 e CVE-2021-44228.
I dettagli della campagna skynox7 e i sintomi
A differenza dei ransomware, questo attacco opera in modo silenzioso. L'intruso non cifra i dati e non satura i processori, ma installa "Pawns.app", un'applicazione commerciale legittima usata per condividere la connessione internet. L'obiettivo è associare i dispositivi compromessi al profilo di pagamento dell'attaccante (skynox7@proton.me) per incassare denaro rivendendo la banda aziendale all'interno di reti proxy residenziali.
I segnali che indicano una possibile compromissione della propria rete includono:
- Degrado costante e inspiegabile delle prestazioni di rete, causato dal traffico di terzi.
- Inserimento dell'indirizzo IP pubblico aziendale in liste di blocco, con conseguenti problemi nell'invio di email, nell'uso di servizi cloud o nell'accesso a portali bancari. L'FBI ha già segnalato che questi proxy vengono usati per attacchi di furto di credenziali.
- Nei log di Microsoft Entra ID o Google Workspace, accessi di più utenti in simultanea dallo stesso IP che superano i controlli di accesso condizionato, poiché provengono da IP residenziali apparentemente legittimi e non da datacenter noti.
Dispositivi coinvolti e vulnerabilità sfruttate
L'attaccante, che ha lanciato le scansioni dall'indirizzo IP 209.99.190.80, non utilizza falle zero-day, ma cerca dispositivi esposti su Internet senza gli ultimi aggiornamenti. Gli apparati interessati sono:
- D-Link ShareCenter NAS (modelli DNS-320L, DNS-325, DNS-327L, DNS-340L): colpiti dalle vulnerabilità CVE-2024-3272 e CVE-2024-3273, che permettono l'iniezione di comandi tramite credenziali fisse nello script
nas_sharing.cgi. - Ubiquiti UniFi Video NVR: vulnerabili all'esecuzione di codice remoto tramite Log4Shell (CVE-2021-44228).
- SAP NetWeaver Visual Composer: interessati dalla falla CVE-2025-31324, che consente l'esecuzione di codice senza autenticazione.
- Dispositivi DVR/NVR Hikvision e Dahua: sono stati rilevati tentativi di scansione mirati a questi marchi per future compromissioni.
Cosa fare per bonificare e proteggere la rete
Per interrompere il furto di banda e mettere in sicurezza l'infrastruttura, è necessario procedere con questi passaggi pratici:
- Isolare i dispositivi non più supportati: D-Link ha dichiarato i modelli ShareCenter NAS citati come giunti a fine supporto. Non riceveranno aggiornamenti correttivi. L'unica soluzione definitiva è la dismissione o il blocco totale di qualsiasi instradamento verso Internet.
- Aggiornare i sistemi supportati: per gli apparati Ubiquiti, applicare le patch ufficiali per Log4Shell o migrare alla piattaforma UniFi Protect. Per i sistemi SAP, installare la Security Note relativa alla CVE-2025-31324.
- Ripulire i dispositivi compromessi: terminare qualsiasi processo legato a "Pawns.app" (spesso avviato da riga di comando) o a file eseguibili sconosciuti. Sui dispositivi Linux ed embedded, ispezionare il percorso
~/.ssh/authorized_keysed eliminare le chiavi SSH non autorizzate, inserite dall'attaccante per garantirsi un accesso continuo. - Limitare l'esposizione esterna: rimuovere immediatamente le interfacce di gestione di NAS, DVR e NVR dagli indirizzi IP pubblici diretti. L'accesso deve avvenire esclusivamente tramite VPN aziendale.
- Verificare la reputazione dell'IP: controllare l'indirizzo IP pubblico della propria azienda tramite il portale di controllo gratuito di GreyNoise per capire se risulta già censito come nodo proxy.
Verificate nei log del firewall aziendale che nessuna interfaccia di amministrazione sia raggiungibile direttamente dall'esterno.
