آسیبپذیری CVE-2025-31324
محققان امنیتی یک عامل تهدید وابسته به چین به نام Chaya_004 را به سوءاستفاده از یک آسیبپذیری حیاتی SAP NetWeaver که با شناسه CVE-2025-31324 شناسایی میشود، مرتبط دانستهاند. این نقص که بالاترین امتیاز CVSS یعنی ۱۰.۰ را دارد، به مهاجمان اجازه میدهد تا با بارگذاری پوستههای وب تهدیدآمیز از طریق نقطه پایانی آسیبپذیر /developmentserver/metadatauploader، به اجرای کد از راه دور (RCE) دست یابند.
این آسیبپذیری اولین بار در اواخر آوریل ۲۰۲۵ مورد توجه قرار گرفت، زمانی که تیمهای امنیت اطلاعات متوجه شدند که بهطور فعال در سطح اینترنت مورد سوءاستفاده قرار میگیرد. مهاجمان از آن برای استقرار پوستههای وب و ابزارهای پس از بهرهبرداری مانند Brute Ratel C4 استفاده کردهاند.
فهرست مطالب
پیامدها: صنایع در تیررس
از مارس ۲۰۲۵، این آسیبپذیری به طور گسترده در صنایع و مناطق جغرافیایی مختلف مورد سوءاستفاده قرار گرفته است. اعتقاد بر این است که بهرهبرداری اولیه از آن در اوایل ۱۲ مارس رخ داده است و نفوذهای موفقیتآمیز تأیید شده بین ۱۴ تا ۳۱ مارس رخ داده است.
بخشهای آسیبدیده عبارتند از:
- انرژی و خدمات رفاهی
- تولید
- رسانه و سرگرمی
- نفت و گاز
- داروسازی
- خرده فروشی و سازمان های دولتی
این حملات گسترده به یک کمپین جهانی اشاره دارد که به طور بالقوه صدها سیستم SAP را تحت تأثیر قرار میدهد.
درون زیرساختهای مضر
عامل تهدید Chaya_004 در خط مقدم این کمپینها بوده و میزبان یک پوسته معکوس مبتنی بر وب به نام SuperShell در آدرس IP 47.97.42[.]177 بوده است. این زیرساخت همچنین عناصر مشکوک دیگری را آشکار کرد:
- پورت ۳۲۳۲/HTTP، که یک گواهی خودامضا را ارائه میدهد و از Cloudflare تقلید میکند
- ابزارها و سرویسهای متعدد به زبان چینی که از طریق ارائهدهندگان ابری چینی میزبانی میشوند
ابزارهای بدافزار مرتبط با این گروه عبارتند از:
- NPS (سرور سیاست شبکه) : این ابزار اغلب برای مدیریت سیاستهای دسترسی به شبکه استفاده میشود. مهاجمان میتوانند از آن برای دستکاری ترافیک شبکه سوءاستفاده کنند و به طور بالقوه دسترسی غیرمجاز یا اختلال در ارتباطات را ممکن سازند.
این ابزار پیشرفته، همراه با استفاده از زیرساختهای چینی، قویاً نشاندهندهی وجود یک عامل تهدید از چین است.
پیشتازی: استراتژیهای دفاعی در برابر سوءاستفادههای مداوم
اگرچه وصلههای امنیتی منتشر شدهاند، اما فعالیتهای مخرب پس از وصلهها همچنان ادامه دارد و این نشان میدهد که پوستههای وب قبلاً مستقر شده توسط طیف وسیعی از کلاهبرداران، از فرصتطلبان گرفته تا دشمنان بسیار ماهر، در حال تغییر کاربری و گسترش هستند. در این محیط تهدید در حال تحول، سازمانها باید اقدامات اصلاحی جامعی را اجرا کنند، که شامل اعمال سریع بهروزرسانیهای رسمی SAP، محدود کردن دقیق دسترسی به نقاط انتهایی آسیبپذیر و غیرفعال کردن سرویسهای غیرضروری مانند Visual Composer میشود.
علاوه بر این، حفظ هوشیاری بیشتر از طریق نظارت مداوم بر سیستم و گزارشها برای رفتارهای غیرعادی همچنان ضروری است. این تلاشهای دفاعی برای مهار احتمال نفوذ بیشتر و حفظ یکپارچگی عملیاتی زیرساختهای SAP حیاتی هستند.
