Слабые пароли помогли собрать прокси-сеть на $202 тысячи

Исследователи Cybernews обнаружили инфраструктуру оператора LeakySensey, который массово искал доступные из интернета VPN-устройства, подбирал к ним слабые учетные данные и превращал скомпрометированные узлы в платные прокси.

На открытом сервере оператора нашли базу более чем из 87 тыс. IP-адресов. Свыше 63 тыс. записей относились к системам, скомпрометированным через PPTP, более 24 тыс. — через L2TP, еще 24 — через SSH. В момент обнаружения 17 858 адресов имели настроенные прокси-учетные данные и статус ready или connected.

В той же инфраструктуре хранились платежные записи: с 2024 года сервис обработал более 24 тыс. транзакций примерно на $202 тыс. В пользовательской базе было свыше 56 тыс. аккаунтов, более 11 тыс. из них были связаны с Telegram.

Главное здесь — отсутствие какой-то сложной уязвимости. Оператор сканировал интернет в поисках PPTP, L2TP и SSH, а затем проверял слабые и стандартные комбинации вроде admin и admin123.

Cybernews обнаружила сервер 20 июля 2026 года. Он оказался доступен без нормальной защиты и содержал инструменты сканирования, журналы, клиентские данные, рабочие учетные записи, инвентарь скомпрометированных устройств и код внутренней автоматизации.

Исследователи назвали оператора LeakySensey по его основной инфраструктуре. Реальная личность человека не установлена.

На сервере работали как минимум два специализированных инструмента: PPTP API Server v3.2 и ipgo3. Они использовались для массового поиска открытых PPTP-, L2TP- и SSH-служб и последующего подбора учетных данных.

Среди целей были старые маршрутизаторы, выделенные VPN-устройства, сетевые хранилища и другое оборудование, которое продолжало отвечать из интернета.

В базе часто встречались слабые или стандартные учетные данные. Cybernews отдельно приводит комбинации уровня admin и admin123.

Для такой схемы не нужен zero-day. Если устройство годами стоит с открытой VPN-службой или SSH и использует предсказуемый пароль, его можно находить и проверять автоматически.

После успешного входа узел включался в прокси-инфраструктуру. Владелец при этом мог продолжать пользоваться интернетом и вообще не замечать постороннего трафика.

Это и делает подобные сети удобными для перепродажи: запросы клиентов выходят в интернет с IP обычного провайдера, офиса или домашнего подключения, а не из заметного дата-центра.

Более 87 тыс. IP находились в накопленной базе оператора. На момент исследования только 17 858 адресов имели прокси-учетные данные и состояние ready или connected.

Основной объем пришелся на старые VPN-протоколы. PPTP, или протокол туннелирования «точка — точка», используется с 1990-х. Microsoft еще в 2012 году публиковала предупреждение о известных криптографических слабостях MS-CHAPv2, который широко применялся для аутентификации в PPTP-VPN. Перехват соответствующего обмена мог позволить восстановить учетные данные.

L2TP сам по себе тоже не обеспечивает шифрование трафика. Спецификация протокола прямо указывает, что для конфиденциальности, целостности и аутентификации нужен защищенный нижележащий транспорт; при работе поверх IP эту задачу обычно решает IPsec.

Microsoft уже объявила PPTP и L2TP устаревающими технологиями для будущих версий Windows Server и рекомендует переходить на SSTP и IKEv2. При этом речь идет именно о выводе старых протоколов из активного развития, а не о том, что любое устройство с L2TP автоматически уязвимо.

В кампании LeakySensey решающим фактором было сочетание открытой службы и слабых учетных данных.

Cybernews приводит данные публичного сканирования Censys: около 1,9 млн хостов отвечали по PPTP и более 3 млн — по L2TP.

LeakySensey монетизировал доступ через собственные сайты, Telegram-ботов и других поставщиков прокси. В открытой базе исследователи нашли VPN Pure, Pure Connect, Rich Proxy, Opm Proxy, For Friends и SkySocks.

Все найденные платежи проводились через Cryptomus, который поддерживает расчеты в криптовалюте. С 2024 года в базе накопилось более 24 тыс. транзакций общей стоимостью около $202 тыс.

В пользовательской базе исследователи насчитали свыше 56 тыс. записей. Более 11 тыс. пользователей привязали Telegram, а некоторые регистрировались под настоящими именами.

Инфраструктура LeakySensey оказалась не намного безопаснее устройств, которые он атаковал.

На сервер Git-репозитория кто-то установил майнер Monero. После обнаружения инцидента оператор удалил 37 посторонних учетных записей, созданных в Git-сервисе.

Позднее неизвестные получили API-ключи прокси-инфраструктуры и начали пользоваться чужими узлами бесплатно. Оператор искал скомпрометированные ключи и IP злоумышленников.

В итоге открытый сервер с инструментами для взлома чужих устройств сам стал источником данных для расследования.

Одна из самых необычных частей инфраструктуры — модифицированная версия Claude Code. Cybernews нашла конвейер из пяти Python-скриптов, который автоматически разбирал новые версии Claude Code, вносил изменения, проверял сборку и публиковал модифицированные бинарные файлы в частных npm-пакетах для Windows, Linux и macOS.

Из клиента убирались запросы доверия и подтверждения действий. Модифицированная версия принимала произвольные идентификаторы моделей, могла отправлять подзадачи моделям разных поставщиков и автоматически подтверждала планы выполнения.

На сервере также нашли 12 учетных записей Antigravity, пять Codex, две Gemini и одну Claude. Их запросы проходили через промежуточный CLI Proxy API.

Cybernews пишет, что измененная Claude Code выполняла значительную часть автоматизированной работы оператора.

При этом утверждать, что все 87 тыс. адресов самостоятельно «взломал ИИ», нельзя. На том же сервере были отдельные специализированные инструменты для массового сканирования и подбора учетных данных. Из открытого отчета невозможно определить вклад ИИ в каждую конкретную компрометацию.

Модификации давали инструменту полный доступ к файловой системе без стандартных подтверждений, разрешали произвольные модели и автоматическое выполнение подготовленного плана. Это не уязвимость облачной инфраструктуры Anthropic. Оператор изменял локальные бинарные файлы клиента, находившиеся под его контролем.

Смысл был в другом: превратить интерактивного помощника разработчика в агент, который может долго выполнять задачи без постоянного подтверждения каждого действия. Исследователи считают, что множество учетных записей разных ИИ-сервисов могло использоваться для распределения нагрузки, обхода лимитов отдельных аккаунтов или увеличения общей пропускной способности.

Cybernews считает, что оператор, вероятно, находится в России. На это указывают несколько независимых признаков: комментарии в коде, конфигурационные файлы, запросы к моделям и ответы были на русском языке, а сайт sensey24[.]ru предлагал разработку программного обеспечения и ИТ-консалтинг на русском. На сервере также находились инструменты и материалы, связанные с обходом российских систем фильтрации трафика.

Сам сервер был размещен у французского провайдера OVH SAS. Эти признаки позволяют говорить о вероятной связи оператора с Россией или русскоязычной средой, но не устанавливают его личность, гражданство или фактическое местонахождение.

Для владельца оборудования компрометация такого типа может пройти незамеченной. Маршрутизатор продолжает раздавать интернет. Файлы не шифруются, экран не показывает требование выкупа, устройство не обязательно начинает заметно тормозить. Атакующему нужен прежде всего IP и возможность пересылать через него чужой трафик.

Для сайтов назначения запросы при этом выглядят так, будто приходят с обычного домашнего или корпоративного подключения. Это делает такие прокси привлекательнее адресов дата-центров для автоматизированных регистраций, обхода ограничений, сбора данных и мошеннических операций. Владелец оплачивает соединение, а доступ к его IP продает кто-то другой.

Вопросы и ответы

Кто такой LeakySensey?

Это название, которое Cybernews дала неизвестному оператору прокси-инфраструктуры после обнаружения его открытого сервера 20 июля 2026 года. Реальная личность человека не установлена.

Он действительно взломал 87 тысяч роутеров?

Исследователи нашли более 87 тыс. скомпрометированных IP в базе. Это не обязательно 87 тыс. уникальных маршрутизаторов: среди целей были также VPN-устройства, NAS и другие сетевые системы.

Сколько адресов реально использовались как прокси?

На момент обнаружения 17 858 IP имели настроенные прокси-учетные данные со статусом ready или connected.

Как происходил взлом?

Оператор массово искал PPTP, L2TP и SSH и проверял слабые учетные данные вроде admin и admin123.

Использовал ли он zero-day?

Основная схема, описанная Cybernews, строилась на подборе паролей и старых открытых службах. Неизвестная уязвимость для этого не требовалась.

Почему PPTP считается плохим выбором?

Он часто используется вместе с MS-CHAPv2, для которого давно известны криптографические слабости. Microsoft уже рекомендует переходить с PPTP на более современные решения.

Опасен ли сам L2TP?

L2TP сам не шифрует трафик и требует отдельного защищенного транспорта, обычно IPsec. Проблема зависит от конкретной конфигурации.

Оператор действительно получил $202 тысячи?

В найденных платежных данных было более 24 тыс. транзакций примерно на $202 тыс. с 2024 года. Это поступления, а не подтвержденная чистая прибыль.

Покупатели прокси знали о происхождении IP?

Таких доказательств нет. Исследователи нашли названия сервисов в данных о перепродаже, но это не показывает, были ли их владельцы осведомлены о компрометации устройств.

LeakySensey находится в России?

Cybernews считает это вероятным из-за совокупности русскоязычных артефактов и других признаков. Реальная личность и местонахождение оператора не подтверждены.