Цепная реакция: волна атак после уязвимости в React Server Components

Уязвимость React2Shell возникает из-за небезопасной десериализации на стороне сервера контролируемых клиентом данных RSC. Эта ошибка позволяет злоумышленнику выполнить удаленный код без аутентификации. Наиболее активно атакам подвергались ресурсы в США и Сингапуре. Почти половина всех инцидентов пришлась на организации сфер образования и финансовых услуг, что делает их основными целями.

Ситуацию для специалистов по безопасности осложняет лавина сгенерированных искусственным интеллектом так называемых «доказательств концепции» (Proof-of-Concept, PoC). Многие из этих образцов некорректны и основаны на ошибочных допущениях. Например, они требуют явного наличия опасных серверных функций, а не эксплуатируют саму логическую ошибку в десериализации RSC Flight. В результате защитникам приходится тратить время на фильтрацию огромного массива ложных или нерелевантных попыток эксплуатации, что затрудняет выделение реальных угроз.

Аналитики Imperva Threat Research идентифицировали несколько активных вредоносных кампаний, использующих CVE‑2025‑55182 в качестве точки входа. Эти кампании варьируются от массовых до высокоцелевых атак.

Одна из распространенных кампаний нацелена на загрузку трояна удаленного доступа (RAT) для Linux. Вредоносное ПО после установки связывается с сервером командования и управления (C2), получая инструкции в формате JSON. Эти инструкции могут включать выполнение системных команд, открытие обратной оболочки или передачу файлов. Основными целями стали организации в США, Индонезии, Таиланде, Бразилии и Великобритании, особенно в телекоммуникационном секторе, сфере финансовых услуг и бизнеса.

Отдельная высокоцелевая кампания затрагивает исключительно финансовые учреждения в Гонконге. В ней используется уязвимость для развертывания троянца Xnote RAT для Linux. По данным антивирусной компании Doctor Web, в разработке этого вредоноса, вероятно, участвовали члены китайской хакерской группы ChinaZ.

Еще одна кампания связана с загрузчиком Snowlight, который обеспечивает как первоначальный доступ, так и механизм сохранения (persistence) в системе. Этот загрузчик выполняет скрипты для извлечения и установки более сложных вредоносных нагрузок (payload), в частности, трояна удаленного доступа VShell. Snowlight ассоциируется с китайской государственной группировкой UNC5174, которая известна атаками на научно-исследовательские и образовательные учреждения, а также коммерческие и правительственные организации по всему миру.

Также наблюдается активность ботнет-кампании под названием ReactOnMyNuts, которая использует уязвимость для одновременного распространения ботнета Mirai и майнера криптовалюты XMRig. Атаки этой кампании сконцентрированы на сайтах в США, Австралии и Великобритании, особенно в сферах здравоохранения и информационных технологий.

Пятая документированная кампания, Runnv, нацелена на криптоджекинг. Злоумышленники, предположительно из Китая, с помощью уязвимости выполняют скрипт-дроппер, который загружает последующие компоненты для организации майнинга. Анализ кошельков Monero, используемых в этой кампании, показал, что на момент расследования злоумышленники получали доход около 170 долларов США в день.

Уязвимость React2Shell прошла путь от раскрытия до массовой эксплуатации в рекордно короткие сроки. Зафиксированные кампании, от атак государственных группировок до криптоджекинга, наглядно демонстрируют скорость, с которой современные угрозы используют критические уязвимости. Мониторинг глобальной активности и анализ тактик злоумышленников остаются критически важными для эффективного противодействия.