GreyNoise stieß auf die Kampagne, während das Unternehmen verdächtige Aktivitäten bei einer nicht genannten Organisation untersuchte. Pawns.app vergütet Kontoinhaber dafür, dass fremder Datenverkehr durch ihr Netz geleitet wird — vorausgesetzt, dies geschieht über vertrauenswürdige, nicht gesperrte IP-Adressen. Durch die Installation auf vielen fremden Systemen dürfte der Angreifer entsprechend höhere Auszahlungen erzielt haben.

Nach Angaben der Forscher nutzte der Angreifer mehrere bekannte Schwachstellen, um in Edge-Geräte einzudringen und die Software einzuspielen:

Zusätzlich beobachtete GreyNoise Angriffe auf DVR- und NVR-Geräte von Hikvision und Dahua, ohne die dabei ausgenutzten Schwachstellen zu benennen. In einigen Fällen richteten die Angreifer eine SSH-Schlüsselauthentifizierung als zweiten Zugangsweg ein.

Auch legitime Proxy-Netzwerke können mangels ausreichender Kontrolle verdächtigen Datenverkehr über die Knoten der Teilnehmer leiten. Für die Betroffenen kann das zu Sperren ihrer IP-Adressen führen oder den Verdacht aufkommen lassen, sie seien an illegalen Aktivitäten beteiligt. Das FBI hatte bereits früher davor gewarnt, dass solche Netzwerke für groß angelegte Credential-Stuffing-Angriffe gegen Online-Plattformen genutzt werden.

GreyNoise bietet einen kostenlosen Dienst an, mit dem sich nach Anlegen eines Kontos prüfen lässt, ob die eigene IP-Adresse Teil eines bekannten legitimen oder eines „grauen" Proxy-Dienstes ist. Software aus nicht vertrauenswürdigen Quellen sollte gemieden werden: Vermeintlich kostenlose Programme enthalten mitunter Schadcode, der Geräte in Residential-Proxy-Netzwerke einbindet. Da Angreifer regelmäßig bekannte Lücken in mit dem Internet verbundenen Geräten ausnutzen, senken aktuelle Firmware-Stände bei NAS-Systemen, Videorekordern und anderen exponierten Systemen das Risiko deutlich — ergänzt um starke Zugangsdaten, eine sichere Konfiguration und eingeschränkten Netzzugriff.