RondoDox-botnet udnytter React2Shell til at bryde ind på Next.js-servere

Sikkerhedsforskere har identificeret en aktiv kampagne, hvor RondoDox-botnettet udnytter React2Shell-sårbarheden til at kompromittere interneteksponerede Next.js-servere. Angrebene muliggør fjernudførelse af kode uden autentificering, hvilket gør det muligt for trusselsaktører at distribuere skadelig software i stor skala.

Aktiviteten viser, hvor hurtigt nyligt offentliggjorte applikationssårbarheder kan blive bevæbnet af automatiserede botnet.

Hvad er React2Shell-sårbarheden

React2Shell er en kritisk sårbarhed, der påvirker React Server Components, som anvendes af moderne webframeworks, herunder Next.js. Fejlen gør det muligt for angribere at udføre vilkårlige kommandoer på en server ved at sende specialudformede forespørgsler, der misbruger den måde, serversidekomponenter behandler input på.

Da sårbarheden ikke kræver autentificering, kan alle eksponerede og upatchede servere angribes direkte via internettet. Det gør fejlen særligt farlig for produktionsmiljøer, der kører standardkonfigurationer.

Hvordan RondoDox-botnettet udnytter sårbarheden

RondoDox-botnettet scanner internettet efter sårbare Next.js-servere og forsøger automatisk at udnytte dem. Når et mål svarer, leverer botnettet kommandoer, som udføres direkte på serveren.

Efter en vellykket udnyttelse installerer angriberen skadelige payloads, der etablerer persistens og muliggør fortsat fjernstyring. Processen kræver ingen brugerinteraktion og kan gennemføres på få sekunder.

Skadelig software installeret på kompromitterede servere

Efter et vellykket brud distribuerer RondoDox-botnettet typisk kryptominersoftware, der er designet til at forbruge systemressourcer til ulovlig kryptomining. I nogle tilfælde installeres yderligere skadelige komponenter for at opretholde langvarig adgang.

Forskere har også observeret, at botnettet fjerner konkurrerende skadelig software fra inficerede systemer. Denne adfærd sikrer eksklusiv kontrol over kompromitterede servere og maksimerer angriberens profit.

Omfang af eksponering og risiko

Et stort antal Next.js-servere forbliver eksponerede på grund af forsinket patching eller fejlk onfigurerede udrulninger. Automatiserede botnet som RondoDox kan hurtigt udnytte disse systemer, så snart scanning identificerer et sårbart mål.

Kampagnens omfang viser, hvordan populære udviklingsframeworks kan blive højværdimål, når kritiske sårbarheder opstår.

Afværgeforanstaltninger og beskyttelsestiltag

Organisationer, der kører Next.js-applikationer, bør straks installere alle tilgængelige sikkerhedsopdateringer relateret til React Server Components. Reduceret interneteksponering, begrænsning af serverside-endepunkter og overvågning af usædvanlig procesaktivitet kan yderligere reducere risikoen.

Beskyttelse på netværksniveau og overvågning i runtime-miljøet hjælper også med at opdage udnyttelsesforsøg, før distributionen af skadelig software fuldføres.

Konklusion

RondoDox-botnettets kampagne viser, hvor farlige sårbarheder for fjernudførelse af kode uden autentificering kan være, når de kombineres med automatiseret udnyttelse. Ved at misbruge React2Shell-sårbarheden kan angribere kompromittere Next.js-servere i stor skala og distribuere skadelige payloads med minimal indsats.

Hændelsen understreger behovet for hurtig patching, stramme eksponeringskontroller og kontinuerlig overvågning i moderne webapplikationsmiljøer.