Киберпреступники активно эксплуатируют критическую уязвимость в геопространственной базе данных GeoServer, чтобы получать пассивный доход за счет незаметного использования интернет-канала жертв. Атака, начавшаяся в марте 2025 года, демонстрирует эволюцию тактик монетизации взломанных систем: вместо агрессивного завладения ресурсами злоумышленники предпочитают скрытность и долгосрочную прибыль.
Описание
Уязвимость CVE-2024-36401, имеющая высший уровень опасности (CVSS 9.8), позволяет выполнять произвольный код на удаленных машинах через уязвимости в библиотеке JXPath, которая является частью проекта Apache Commons. Атакующие используют её для внедрения легитимных программных development kits (SDK) или модифицированных приложений, которые затем работают в фоновом режиме, практически не потребляя ресурсов, но передавая интернет-трафик жертв через сервисы резидентских прокси или сети совместного использования.
Этот метод монетизации особенно коварен, поскольку имитирует стратегии, которые иногда используют добросовестные разработчики приложений, стремящиеся избежать навязчивой рекламы. Однако в данном случае интеграция SDK и приложений происходит без ведома пользователей и администраторов систем.
Кампания была впервые зафиксирована 8 марта 2025 года, когда атаки начали исходить с IP-адреса 108.251.152[.]209. Злоумышленники использовали эксплойт, нацеленный на CVE-2024-36401, для загрузки на целевые машины исполняемых файлов с хоста 37.187.74[.]75. Среди них - варианты приложений (a193, d193, e193) и SDK (a593, c593, d593, s593, z593).
В конце марта, после того как несколько вендоров отметили IP-адрес 37.187.74[.]75 как malicious, злоумышленники сменили тактику. С 26 марта они перестали распространять новые версии приложений, сконцентрировавшись исключительно на SDK, а 1 апреля перенесли основную инфраструктуру на новый IP-адрес - 185.246.84[.]189. Это позволило им обойти блокировки и продолжить операции.
В середине апреля атакующие расширили инфраструктуру, добавив ещё один адрес для распределения payload - 64.226.112[.]52. Оба хоста, 37.187.74[.]75 и 64.226.112[.]52, оставались активными по состоянию на середину июня, а попытки эксплуатации уязвимости продолжаются.
Технический анализ показал, что уязвимость CVE-2024-36401 позволяет злоумышленникам внедрять произвольный код в запросы JXPath, используя функции расширения, такие как exec(java.lang.Runtime.getRuntime()), что приводит к выполнению команд на удаленной системе. Эксплойт был подтвержден через различные запросы GeoServer, включая GetFeature, GetMap и Execute.
Для доставки вредоносных payload злоумышленники использовали частные экземпляры файлообменного сервиса transfer.sh, размещенные на порту 8080 своих IP-адресов. После успешного внедрения начального скрипта (например, z593) загружаются дополнительные файлы (z401, z402), которые создают скрытые директории, настраивают окружение и запускают основной исполняемый файл.
Особенностью данной кампании является использование языка программирования Dart для создания кроссплатформенных исполняемых файлов, что позволяет атаковать Linux-системы и потенциально избегать detection signals, ориентированных на более традиционные языки. Анализ также показал, что SDK, используемый злоумышленниками, идентичен официальной версии с сайта вендора, что затрудняет его обнаружение системами защиты.
По данным Cortex Xpanse, в марте-апреле 2025 года в сети было доступно 7126 экземпляров GeoServer, размещенных в 99 странах. Наибольшее количество уязвимых серверов находится в Китае, США, Германии, Великобритании и Сингапуре.
Индикаторы компрометации
