安全研究公司GreyNoise发现，攻击者利用D-Link、Ubiquiti和SAP等设备的漏洞，在至少143台设备上安装合法带宽共享应用Pawns.app，并将这些设备秘密纳入代理网络。这些设备分布在34个国家，攻击者借此盗用带宽，并让犯罪活动隐藏在受害者的住宅IP地址之后。
据TechRadar报道，这一活动属于“代理劫持”。此类攻击通常先入侵设备、植入恶意软件，再把设备变成代理网络的一部分，供攻击者自己使用或出租。恶意代理需要大量“干净”、未被标记的设备和IP地址，住宅代理因而成为抢手服务。文章提到，IPIDEA、NetNut和Cloudrouter等大型恶意住宅代理服务目前已被完全关闭或受到严重干扰，但它们运营时曾提供数十万甚至数百万个与家庭互联网连接相关的IP地址。
与以往不同，此次攻击者没有部署恶意软件，而是选择了具有类似功能的合法应用。GreyNoise研究人员发现，有人安装Pawns.app。该应用主要是一个奖励平台，允许用户通过完成在线调查和玩游戏赚钱，但它曾提供带宽共享功能，让企业客户把互联网流量经由用户的住宅IP地址路由，用户则从中获利。今年年初，Pawns.app停止这项功能，但旧版本似乎仍可运行。该应用网站通知称，截至2026年，Pawns.app不再提供互联网带宽共享，该功能已停止，不再与Pawns.app相关。不过，其使用条款仍称部分版本提供流量共享，商业网站也仍在推广用于带宽变现的SDK。
攻击目标包括D-Link ShareCenter NAS设备、Ubiquiti UniFi Video NVR以及SAP NetWeaver Visual Composer。GreyNoise称，攻击者分别利用CVE-2024-3272和CVE-2024-3273、CVE-2021-44228、CVE-2025-31324等漏洞部署Pawns.app。研究人员还说，攻击者针对了海康威视和大华DVR/NVR设备，但没有说明利用了哪些漏洞。截至文章发布时，研究人员确认全球至少143台设备被入侵，分布在34个不同国家。这些设备安装的是合法软件，但部署过程未获设备所有者知情或同意。
GreyNoise警告，用户自愿通过互联网赚钱是一回事，代理劫持则是犯罪。它把代理劫持定义为恶意网络行为者强迫受害设备加入代理网络，以将其带宽变现。GreyNoise还推出免费服务，供用户检查自己的IP是否与其Global Observation Grid发生交互，研究人员称这可以作为代理劫持的潜在指标。
对于企业，GreyNoise建议扫描IP地址，并教育员工认识安装免费应用的风险以及保持设备补丁更新的重要性。企业还应在认证日志中检测住宅代理IP地址，以及用户认证行为的偏差和地理位置之外的特征，例如设备标识符或会话标识符不匹配。