Аналитики компании EclecticIQ заявляют о кампаниях эксплуатации с использованием угрозы APT, принадлежащих китайским государствам в апреле 2025 года.
Описание
Они направлены на сети критической инфраструктуры, использующие SAP NetWeaver Visual Composer, с использованием уязвимости CVE-2025-31324, позволяющей удаленное выполнение кода. Ссылаясь на шаблоны сделок между злоумышленниками, специалисты связывают вторжения в SAP NetWeaver с китайскими кибершпионажными подразделениями, ассоциированными с Министерством государственной безопасности Китая.
Злоумышленники, вероятно, проводят кампанию сканирования и эксплуатации систем SAP NetWeaver через интернет. Контролируемый сервер с IP-адресом 15.204.56[.]106 раскрывает масштабы вторжений. На сервере были обнаружены два файла результатов, которые содержат информацию о скомпрометированных экземплярах SAP NetWeaver и целях для будущих атак. Аналитики обнаружили веб-оболочки, используемые для удаленного доступа к системам жертвы с использованием шифрования и выполнения удаленных команд.
Веб-оболочки coreasp.js и forwardsap.jsp позволяют злоумышленникам управлять системами SAP NetWeaver, выполнять удаленные команды и хранить данные в памяти, минимизируя следы. Эти оболочки были установлены после эксплойта через API. Анализ инфраструктуры и обнаруженные угрозы свидетельствуют о целенаправленной кампании против критически важных секторов, включая великобританские сети распределения природного газа и системы водоснабжения. В целом, действия китайских хакеров имеют стратегическую направленность на государственные организации и ключевые службы.
Индикаторы компрометации
