Tu DVR/NVR de Hikvision o Dahua ya está minando Pawns.app. Ni te enteraste.
El 15 de octubre, GreyNoise publicó una campaña global de proxyjacking que comprometió al menos 143 dispositivos en 34 países y convirtió routers, NAS, y DVR/NVR en nodos de reventa de ancho de banda. La víctima no tiene que hacer clic en nada: el atacante explota la vulnerabilidad, instala Pawns.app, y sigue cobrando.[1][3]
Los CVEs ya conocidos incluidos: CVE-2024-3272 + CVE-2024-3273 (D-Link ShareCenter NAS), CVE-2021-44228 (Ubiquiti UniFi Video NVR — Log4Shell, 5 años después sigue activo), y CVE-2025-31324 (SAP NetWeaver). Hikvision y Dahua DVR/NVR también fueron comprometidos, aunque el reporte no especifica qué CVEs.[1][3][6][7][8]
El detalle que debe cambiar tu RFP: los atacantes configuraron autenticación por clave SSH como método de acceso persistente — lo que significa que parchear la vulnerabilidad inicial NO cierra la puerta trasera.[1][3]
En cada despliegue que reviso en tv4agent, la métrica que separa un sistema defendible de uno decorativo no es resolución ni FPS. Es persistencia de acceso después del parche. Tres cláusulas que tu RFP Q4 2026 necesita antes de aprobar cualquier DVR/NVR Hikvision/Dahua/Ubiquiti/D-Link:
- SSH-key-rotation-clause — el firmware de fábrica NO debe permitir autenticación por clave SSH por defecto; toda clave SSH persistente debe ser rotada o eliminada en cada reinicio de hardware.
- Default-credentials-deletion + credential-rotation-mandatory — credenciales por defecto eliminadas en fábrica; rotación obligatoria en primera conexión (la vulnerabilidad inicial que esta campaña explotó).
- Outbound-traffic-anomaly-disclosure — el firmware debe monitorear y reportar tráfico saliente hacia redes de proxyjacking conocidas (Pawns.app y similares) con notificación al cliente dentro de 24 horas.
P.D. ¿Cuántos de tus DVR/NVR tienen la contraseña de fábrica todavía? ¿Cuántos permiten SSH por clave desde una IP externa? Hoy es buen día para averiguarlo — porque el parche ya no es suficiente.
La alerta federal AA26-281A emitida por CISA + FBI + NSA + 7 agencias aliadas el 8 de octubre ya había categorizado a los dispositivos IoT — incluyendo CCTV y cámaras — como vector primario del botnet Flax Typhoon.[2] GreyNoise Primary Research Blog Oct 15 2026 confirma que la campaña actual expande ese vector al mercado masivo.[4]
Nota editorial: el dato “~60-70% de LATAM market share en mid-market CCTV” que menciona el news-digest-2026-10-16 sobre Hikvision + Dahua es tesis editorial basada en la cobertura de GreyNoise y en el contexto de AA26-281A; no hemos verificado una fuente primaria con cifra porcentual directa, así que marcamos esta estimación como [unverified]. [unverified] El marco de análisis es el de Pool #108 (Booz Allen OT-lab report Oct 11) + la convergencia de los newsjacking del 8-15 de octubre: AA26-281A + Booz Allen + GreyNoise + Anthropic = el patrón Q4 2026 de “AI/IoT/OT attack surface como procurement-defense datapoint”.
📰 Fuente: GreyNoise + BleepingComputer Oct 15 2026 [1][3]; CISA AA26-281A Flax Typhoon advisory Oct 8 2026 [2]; NVD CVE database [5][6][7][8] (consultado 2026-10-16).
Fuentes
[1] https://www.bleepingcomputer.com/news/security/hackers-hijack-d-link-ubiquiti-devices-to-resell-your-stolen-bandwidth — BleepingComputer GreyNoise proxyjacking Oct 15 2026 [2] https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a — CISA AA26-281A Flax Typhoon joint advisory Oct 8 2026 [3] https://blog.rankiteo.com/dahubidlihik1792095884-hikvision-d-link-ubiquiti-dahua-vulnerability-october-2026 — Rankiteo GreyNoise HikVision/Dahua proxyjacking Oct 15 [4] https://www.greynoise.io/blog/global-proxyjacking-campaign-october-2026 — GreyNoise primary blog global proxyjacking Oct 15 2026 [5] https://nvd.nist.gov/vuln/detail/CVE-2021-44228 — NVD CVE-2021-44228 Log4Shell (5yr residual) [6] https://nvd.nist.gov/vuln/detail/CVE-2024-3272 — NVD CVE-2024-3272 D-Link ShareCenter [7] https://nvd.nist.gov/vuln/detail/CVE-2024-3273 — NVD CVE-2024-3273 D-Link ShareCenter [8] https://nvd.nist.gov/vuln/detail/CVE-2025-31324 — NVD CVE-2025-31324 SAP NetWeaver