Ловушка для сетевых атак зафиксировала запрос, который проверяет наличие веб-оболочки на сервере SAP NetWeaver. Это не первый шаг атаки, а попытка найти чужой инструмент, оставленный раньше. Под риском остаются организации с открытым в интернет сервером разработки Visual Composer: загруженный туда файл даёт полный контроль над системой.
Описание
По данным SANS Internet Storm Center, запрос пришёл на адрес, который обычно создают веб-оболочки, то есть файлы, позволяющие выполнять команды через браузер. Ловушка видит только входящие обращения и не может отличить проверку наугад от точного удара по конкретной жертве. Зато набор запросов показывает: активность шире одной эксплуатации. Часть обращений нацелена на уязвимость, часть - на поиск веб-оболочек, установленных кем-то другим.
Сама уязвимость не новая. Речь о CVE-2025-31324 - отсутствии проверки авторизации в серверной части SAP NetWeaver. Оценка по CVSS 3.1 у неё максимальная: 10 из 10. Атакующему не нужны ни учётная запись, ни действия пользователя - достаточно сетевого доступа к уязвимому компоненту.
Слабость отнесли к категории CWE-434 - загрузка файлов опасного типа без ограничений. Затронута версия VCFRAMEWORK 7.50. Исправленная версия в карточке CVE не названа, обходные меры там тоже не приведены - это заметное ограничение для тех, кто планирует обновление.
В реальных атаках уязвимость применяют с апреля 2025 года: тогда же, 29 апреля, её добавили в каталог Known Exploited Vulnerabilities, который ведёт CISA. Попадание в этот список означает подтверждённую эксплуатацию, а не теоретическую возможность. Судя по наблюдениям, загруженные веб-оболочки обычно оказываются в служебном каталоге, откуда сервер отдаёт их содержимое.
Один из атакующих обращался к набору разнородных адресов, и не все они связаны с SAP NetWeaver. В одной из строк запроса заметна опечатка в имени страницы загрузки - характерный след автоматического перебора по чужому шаблону. Такой набор запросов показывает, что злоумышленник не готовит адресную атаку, а прогоняет список заготовок по широкому диапазону целей.
Открытым остаётся главный вопрос: сколько серверов действительно уязвимы и нашёл ли кто-то уже установленные веб-оболочки. Ловушка фиксирует только факт обращения, а не результат. Достоверно известно лишь то, что поиск идёт и что уязвимость с максимальной оценкой опасности остаётся востребованной у атакующих.
Индикаторы компрометации
