RondoDox-Botnetz nutzt React2Shell aus, um Next.js-Server zu kompromittieren

Sicherheitsforscher haben eine aktive Kampagne identifiziert, bei der das RondoDox-Botnetz die React2Shell-Schwachstelle ausnutzt, um öffentlich erreichbare Next.js-Server zu kompromittieren. Die Angriffe ermöglichen die Ausführung von Remote-Code ohne Authentifizierung und erlauben es Bedrohungsakteuren, Malware in großem Maßstab zu verteilen.

Die Aktivität zeigt, wie schnell neu offengelegte Anwendungsschwachstellen von automatisierten Botnetzen bewaffnet werden können.

Was ist die React2Shell-Schwachstelle

React2Shell ist eine kritische Schwachstelle, die React Server Components betrifft, die von modernen Web-Frameworks wie Next.js verwendet werden. Die Lücke ermöglicht es Angreifern, beliebige Befehle auf einem Server auszuführen, indem sie speziell gestaltete Anfragen senden, die die Verarbeitung von Eingaben durch serverseitige Komponenten missbrauchen.

Da die Schwachstelle keine Authentifizierung erfordert, können alle exponierten und ungepatchten Server direkt über das Internet angegriffen werden. Dies macht die Lücke besonders gefährlich für Produktionsumgebungen, die mit Standardkonfigurationen betrieben werden.

Wie das RondoDox-Botnetz die Schwachstelle ausnutzt

Das RondoDox-Botnetz scannt das Internet nach anfälligen Next.js-Servern und versucht, diese automatisiert auszunutzen. Sobald ein Ziel reagiert, liefert das Botnetz Befehle aus, die direkt auf dem Server ausgeführt werden.

Nach einer erfolgreichen Ausnutzung installiert der Angreifer schädliche Payloads, die Persistenz herstellen und eine fortlaufende Fernsteuerung ermöglichen. Der Prozess erfordert keine Benutzerinteraktion und kann innerhalb weniger Sekunden abgeschlossen werden.

Auf kompromittierten Servern eingesetzte Malware

Nach einem erfolgreichen Einbruch verteilt das RondoDox-Botnetz in der Regel Kryptomining-Software, die darauf ausgelegt ist, Systemressourcen für illegales Kryptowährungs-Mining zu verbrauchen. In einigen Fällen installieren die Angreifer zusätzliche Schadkomponenten, um einen langfristigen Zugriff aufrechtzuerhalten.

Forscher haben zudem beobachtet, dass das Botnetz konkurrierende Malware von infizierten Systemen entfernt. Dieses Verhalten stellt eine exklusive Kontrolle über kompromittierte Server sicher und maximiert die Gewinne der Angreifer.

Umfang der Exposition und Risiken

Eine große Anzahl von Next.js-Servern bleibt aufgrund verzögerter Patch-Verfahren oder fehlerhafter Bereitstellungen weiterhin exponiert. Automatisierte Botnetze wie RondoDox können diese Systeme schnell ausnutzen, sobald Scans ein anfälliges Ziel identifizieren.

Der Umfang der Kampagne zeigt, wie populäre Entwicklungs-Frameworks zu hochwertigen Zielen werden können, wenn kritische Schwachstellen auftreten.

Maßnahmen zur Eindämmung und Verteidigung

Organisationen, die Next.js-Anwendungen betreiben, sollten unverzüglich alle verfügbaren Sicherheitsupdates im Zusammenhang mit React Server Components einspielen. Eine Reduzierung der Internet-Exposition, die Einschränkung serverseitiger Endpunkte sowie die Überwachung ungewöhnlicher Prozessaktivitäten können das Risiko zusätzlich verringern.

Schutzmaßnahmen auf Netzwerkebene und Laufzeitüberwachung helfen ebenfalls dabei, Ausnutzungsversuche zu erkennen, bevor die Bereitstellung von Malware abgeschlossen wird.

Fazit

Die Kampagne des RondoDox-Botnetzes zeigt, wie gefährlich nicht authentifizierte Schwachstellen zur Remote-Code-Ausführung in Kombination mit automatisierter Ausnutzung sein können. Durch den Missbrauch der React2Shell-Schwachstelle sind Angreifer in der Lage, Next.js-Server in großem Maßstab zu kompromittieren und schädliche Payloads mit minimalem Aufwand zu verteilen.

Der Vorfall unterstreicht die Notwendigkeit schneller Patch-Zyklen, strenger Expositionskontrollen und kontinuierlicher Überwachung in modernen Webanwendungsumgebungen.