React2Shell-Angriff wird in automatisierter Kampagne zum Diebstahl von Zugangsdaten eingesetzt

Der React2Shell-Angriff ist inzwischen Teil einer automatisierten Kampagne zum Diebstahl von Zugangsdaten aus modernen Webanwendungen. Angreifer nutzen eine kritische Schwachstelle aus, um in großem Umfang auf sensible Daten zuzugreifen. Sicherheitsexperten warnen, dass die Aktivitäten andauern und weiter zunehmen.

Kritische Schwachstelle ermöglicht Fernzugriff

Der Angriff nutzt eine Schwachstelle in React-basierten Umgebungen, die die Ausführung von Code aus der Ferne ermöglicht. Angreifer können speziell gestaltete Anfragen an anfällige Server senden und die Schwachstelle ohne Authentifizierung auslösen.

Sobald sie Zugriff haben, übernehmen sie die Kontrolle über das betroffene System. Diese Zugriffsebene erlaubt es ihnen, Befehle auszuführen, Skripte zu installieren und sich weiter innerhalb der Umgebung zu bewegen.

Das Problem betrifft Anwendungen, die auf modernen Frameworks mit serverseitiger React-Funktionalität basieren.

Automatisierung treibt Angriffe im großen Maßstab

Bedrohungsakteure scannen gezielt nach exponierten Systemen und führen Angriffe automatisiert durch. Statt einzelne Organisationen ins Visier zu nehmen, setzen sie auf hohe Stückzahlen.

Dieser Ansatz ermöglicht es, in kurzer Zeit viele Systeme zu kompromittieren. Automatisierte Tools identifizieren anfällige Endpunkte und nutzen die Schwachstelle mit minimalem Aufwand aus.

Forscher haben Aktivitäten in mehreren Regionen beobachtet, was zeigt, wie schnell sich die Kampagne ausbreitet.

Angreifer konzentrieren sich auf den Diebstahl von Zugangsdaten

Nach dem Zugriff setzen Angreifer Skripte ein, um sensible Daten auszulesen. Ihr Hauptziel ist es, Zugangsdaten zu sammeln, die weiteren Zugriff ermöglichen.

Sie zielen insbesondere auf:

• API-Schlüssel
• Zugriffstokens
• SSH-Zugangsdaten
• Umgebungsvariablen

Diese Informationen ermöglichen häufig direkten Zugriff auf Cloud-Dienste und interne Systeme. Angreifer können sie weiterverwenden oder an andere Gruppen verkaufen.

Gestohlene Daten ermöglichen weitere Angriffe

Die gesammelten Daten erlauben es Angreifern, ihre Reichweite auszuweiten. Sie können auf verbundene Systeme zugreifen, Berechtigungen ausweiten und dauerhaften Zugriff aufrechterhalten.

Oft reicht eine kompromittierte Anwendung aus, um Zugang zu einer größeren Infrastruktur zu erhalten. Das macht den Diebstahl von Zugangsdaten in modernen Umgebungen besonders wertvoll.

Die Kampagne zielt darauf ab, möglichst viele Daten zu sammeln, anstatt Systeme sofort zu stören.

Ungepatchte Systeme bleiben anfällig

Viele Organisationen nutzen weiterhin anfällige Versionen der betroffenen Frameworks. Dadurch entsteht eine große Angriffsfläche für automatisierte Ausnutzung.

Sicherheitsteams sollten Systeme schnell aktualisieren und kompromittierte Zugangsdaten ersetzen. Die Überwachung von Zugriffsprotokollen und die Einschränkung von Berechtigungen können das Risiko zusätzlich reduzieren.

Ohne diese Maßnahmen können Angreifer weiterhin in großem Umfang auf exponierte Systeme zugreifen.

Fazit

Der React2Shell-Angriff zeigt, wie Angreifer kritische Schwachstellen in automatisierte Kampagnen umwandeln. Durch den Fokus auf den Diebstahl von Zugangsdaten erhalten sie Zugriff auf wertvolle Systeme, ohne sofort entdeckt zu werden. Solange anfällige Anwendungen online bleiben, wird das Risiko weiter steigen.