CVE-2025-55182

Έχει εντοπιστεί μια μεγάλης κλίμακας εκστρατεία συλλογής διαπιστευτηρίων που αξιοποιεί την ευπάθεια React2Shell ως τον κύριο φορέα μόλυνσης. Αυτή η λειτουργία στοχεύει ευάλωτες εφαρμογές Next.js, εκμεταλλευόμενη συγκεκριμένα το CVE-2025-55182, ένα κρίσιμο ελάττωμα με βαθμολογία CVSS 10,0 που επηρεάζει τα στοιχεία του React Server και τον δρομολογητή εφαρμογών Next.js. Η επιτυχής εκμετάλλευση επιτρέπει την απομακρυσμένη εκτέλεση κώδικα, επιτρέποντας στους εισβολείς να αποκτήσουν μια αρχική θέση σε στοχευμένα συστήματα.

Οι ερευνητές ασφαλείας έχουν αποδώσει αυτήν τη δραστηριότητα σε ένα σύμπλεγμα απειλών που παρακολουθείται ως UAT-10608. Η καμπάνια έχει ήδη παραβιάσει τουλάχιστον 766 υπολογιστές σε πολλαπλές γεωγραφικές περιοχές και περιβάλλοντα cloud, καταδεικνύοντας τόσο την κλίμακα όσο και την επιχειρησιακή εμβέλεια.

Αυτοματοποιημένη εισβολή σε κλίμακα: Ευρεία και αδιάκριτη στόχευση

Το μοτίβο επίθεσης αντικατοπτρίζει τεχνικές αναγνώρισης και εκμετάλλευσης με υψηλό βαθμό αυτοματοποίησης. Πιστεύεται ότι οι απειλητικοί παράγοντες βασίζονται σε εργαλεία σάρωσης μεγάλης κλίμακας, όπως το Shodan, το Censys ή σε ειδικά κατασκευασμένους σαρωτές, για να εντοπίσουν δημόσια εκτεθειμένες αναπτύξεις Next.js που είναι ευάλωτες στην ευπάθεια.

Αυτή η αδιάκριτη στρατηγική στόχευσης επιτρέπει τον γρήγορο εντοπισμό ευάλωτων συστημάτων, αυξάνοντας σημαντικά το ποσοστό επιτυχίας και την κλίμακα της παραβίασης.

Ανάπτυξη ωφέλιμου φορτίου πολλαπλών σταδίων: Από την πρόσβαση στη συλλογή δεδομένων

Μετά την αρχική παραβίαση, αναπτύσσεται ένα dropper για την εγκατάσταση ενός πολυφασικού πλαισίου συλλογής δεδομένων, γνωστού ως NEXUS Listener. Αυτό το πλαίσιο ενορχηστρώνει αυτοματοποιημένα σενάρια που έχουν σχεδιαστεί για την εξαγωγή ευαίσθητων δεδομένων από μολυσμένα συστήματα και την εξαγωγή τους σε μια κεντρική υποδομή Command-and-Control (C2).

Η διαδικασία συγκομιδής είναι εκτεταμένη και συλλέγει συστηματικά:

• Μεταβλητές περιβάλλοντος και διαμορφώσεις χρόνου εκτέλεσης που έχουν αναλυθεί σε JSON
• Ιδιωτικά κλειδιά SSH και αρχεία authorized_keys
• Ιστορικό εντολών Shell και λεπτομέρειες διεργασιών που εκτελούνται
• Διακριτικά λογαριασμού υπηρεσίας Kubernetes και διαμορφώσεις κοντέινερ Docker
• Κλειδιά API, διαπιστευτήρια βάσης δεδομένων και μυστικά υπηρεσίας cloud
• Προσωρινά διαπιστευτήρια IAM που ανακτώνται μέσω υπηρεσιών μεταδεδομένων cloud (AWS, Google Cloud, Microsoft Azure)

NEXUS Listener: Κεντρική Νοημοσύνη και Έλεγχος

Στον πυρήνα της επιχείρησης βρίσκεται το NEXUS Listener, μια διαδικτυακή εφαρμογή που προστατεύεται με κωδικό πρόσβασης και φιλοξενείται στην υποδομή C2 των εισβολέων. Αυτή η διεπαφή παρέχει στους χειριστές έναν ολοκληρωμένο γραφικό πίνακα ελέγχου για την παρακολούθηση και ανάλυση κλεμμένων δεδομένων.

Οι βασικές δυνατότητες της πλατφόρμας περιλαμβάνουν:

• Ορατότητα σε πραγματικό χρόνο σε παραβιασμένους κεντρικούς υπολογιστές και συλλεγμένα διαπιστευτήρια
• Λειτουργικότητα αναζήτησης για αποτελεσματικό φιλτράρισμα και ανάλυση δεδομένων
• Συγκεντρωτικά στατιστικά στοιχεία που περιγράφουν λεπτομερώς τους τύπους και τους όγκους διαπιστευτηρίων
• Μετρήσεις συστήματος όπως ο χρόνος λειτουργίας της εφαρμογής και η λειτουργική κατάσταση

Η τρέχουσα έκδοση, NEXUS Listener V3, υποδηλώνει συνεχή ανάπτυξη και βελτίωση, γεγονός που υποδηλώνει ένα ώριμο και εξελισσόμενο σύνολο εργαλείων.

Αποκάλυψη μυστικών υψηλής αξίας: Μια επικίνδυνη κρυφή μνήμη δεδομένων

Σε ορισμένες περιπτώσεις, τα λανθασμένα διαμορφωμένα ή μη ελεγμένα πάνελ NEXUS Listener έχουν αποκαλύψει ένα ευρύ φάσμα ευαίσθητων διαπιστευτηρίων. Αυτά περιλαμβάνουν κλειδιά API που συνδέονται με χρηματοοικονομικές υπηρεσίες όπως το Stripe, πλατφόρμες τεχνητής νοημοσύνης όπως το OpenAI, το Anthropic και το NVIDIA NIM, καθώς και υπηρεσίες επικοινωνίας όπως το SendGrid και το Brevo.

Πρόσθετα εκτεθειμένα περιουσιακά στοιχεία περιλαμβάνουν διακριτικά bot Telegram, μυστικά webhook, διακριτικά GitHub και GitLab και συμβολοσειρές σύνδεσης βάσεων δεδομένων. Αυτό το εύρος των παραβιασμένων δεδομένων ενισχύει σημαντικά τις πιθανότητες για επιθέσεις κατάντη.

Στρατηγικός Αντίκτυπος: Χαρτογράφηση Ολόκληρων Οικοσυστημάτων Υποδομών

Πέρα από τα μεμονωμένα διαπιστευτήρια, τα συγκεντρωτικά δεδομένα παρέχουν ένα λεπτομερές σχέδιο των περιβαλλόντων των θυμάτων. Οι εισβολείς αποκτούν ορατότητα στις αναπτυγμένες υπηρεσίες, τα μοτίβα διαμόρφωσης, τους παρόχους cloud που χρησιμοποιούνται και τις ενσωματώσεις τρίτων.

Τέτοιες πληροφορίες επιτρέπουν εξαιρετικά στοχευμένες επακόλουθες επιχειρήσεις, όπως πλευρική μετακίνηση, κλιμάκωση προνομίων, εκστρατείες κοινωνικής μηχανικής ή μεταπώληση πρόσβασης σε άλλους απειλητικούς παράγοντες.

Αμυντικές Επιταγές: Μετριασμός του Κινδύνου και Περιορισμός της Έκθεσης

Η κλίμακα και το βάθος αυτής της εκστρατείας υπογραμμίζουν την αναγκαιότητα για προληπτικά μέτρα ασφαλείας. Οι οργανισμοί πρέπει να δώσουν προτεραιότητα στον αυστηρό έλεγχο περιβάλλοντος και στις πρακτικές διαχείρισης διαπιστευτηρίων, ώστε να μειωθεί η έκθεση.

Οι προτεινόμενες ενέργειες περιλαμβάνουν:

• Επιβολή της αρχής των ελαχίστων προνομίων σε όλα τα συστήματα και τις υπηρεσίες

Μια πειθαρχημένη προσέγγιση στον έλεγχο πρόσβασης και η συνεχής παρακολούθηση είναι απαραίτητες για την άμυνα ενάντια στις ολοένα και πιο αυτοματοποιημένες και μεγάλης κλίμακας επιχειρήσεις συλλογής διαπιστευτηρίων.