Ботнет RondoDox использует уязвимость React2Shell для взлома серверов Next.js.

[admin]

Было замечено, что ботнет RondoDox использует критическую уязвимость React2Shell (CVE-2025-55182) для заражения уязвимых серверов Next.js вредоносным ПО и криптомайнерами.


Впервые описанная компанией Fortinet в июле 2025 года, RondoDox — это крупномасштабная ботнет-сеть, нацеленная на многочисленные уязвимости n-дневного периода в глобальных атаках. В ноябре VulnCheck обнаружил новые варианты RondoDox , содержащие эксплойты для CVE-2025-24893, критической уязвимости удаленного выполнения кода (RCE) в платформе XWiki.


В новом отчете компании CloudSEK, специализирующейся на кибербезопасности, отмечается, что RondoDox начала сканирование уязвимых серверов Next.js 8 декабря и приступила к развертыванию ботнет-клиентов три дня спустя.

React2Shell — это уязвимость удаленного выполнения кода без аутентификации , которая может быть использована через один HTTP-запрос и затрагивает все фреймворки, реализующие протокол React Server Components (RSC) 'Flight', включая Next.js.


Эта уязвимость была использована несколькими злоумышленниками для взлома множества организаций . Северокорейские хакеры использовали уязвимость React2Shell для развертывания нового семейства вредоносных программ под названием EtherRAT .

По состоянию на 30 декабря, фонд Shadowserver Foundation сообщил об обнаружении более 94 000 доступных через интернет ресурсов, уязвимых для React2Shell.


CloudSEK По данным , в этом году RondoDox прошел три различных этапа эксплуатации:

• Разведывательные работы и тестирование уязвимостей с марта по апрель 2025 года.
• Автоматизированная эксплуатация веб-приложений с апреля по июнь 2025 года.
• Масштабное развертывание ботнетов для Интернета вещей с июля по сегодняшний день.

Что касается React2Shell, исследователи сообщают, что в последнее время RondoDox значительно сосредоточила свои усилия на эксплуатации этой уязвимости, совершив более 40 попыток взлома за шесть дней в декабре.


В ходе этой операционной фазы ботнет ежечасно проводит атаки на устройства IoT, нацеленные на маршрутизаторы Linksys, Wavlink и другие потребительские и корпоративные маршрутизаторы, с целью регистрации новых ботов.

После проверки потенциально уязвимых серверов компания CloudSEK сообщила, что RoundDox начала развертывать полезные нагрузки, включающие майнер криптовалюты (/nuts/poop), загрузчик ботнетов и средство проверки работоспособности (/nuts/bolts), а также вариант Mirai (/nuts/x86).


По словам исследователей, компонент «bolts» удаляет конкурирующее вредоносное ПО ботнета с хоста, обеспечивает постоянное присутствие в системе через /etc/crontab и завершает процессы, не включенные в белый список, каждые 45 секунд.


CloudSEK предлагает компаниям набор рекомендаций по защите от активности RondoDox, в том числе аудит и обновление серверных действий Next.js, изоляция IoT-устройств в выделенные виртуальные локальные сети и мониторинг выполнения подозрительных процессов.