Badacze cyberbezpieczeństwa wykryli aktywną kampanię przechwytywania ruchu webowego, która wykorzystuje złośliwe konfiguracje NGINX do po cichu przekierowywania legalnego ruchu użytkowników przez infrastrukturę kontrolowaną przez atakujących.
🧪 Co się dzieje
Cyberprzestępcy wstrzykują nieautoryzowane dyrektywy proxy_pass do konfiguracji NGINX, co umożliwia przechwytywanie ruchu metodą man-in-the-middle bez wdrażania tradycyjnego złośliwego oprogramowania.
🔧 Zaobserwowane narzędzia ataku
Wieloetapowy zestaw narzędzi obejmuje:
- 🧩
zx.sh– orkiestracja i dostarczanie ładunku - ⚙️
bt.sh– nadpisuje konfiguracje w panelach Baota (BT) - 🗂️
4zdh.sh/zdh.sh– wyliczanie ścieżek NGINX i wybór celów - 📊
ok.sh– raportowanie aktywnych reguł przechwytywania
🌍 Profil celów
- Azjatyckie domeny najwyższego poziomu:
.in,.id,.bd,.th,.pe - Domeny rządowe i edukacyjne:
.gov,.edu - Chińska infrastruktura hostingowa i wystawione panele zarządzania
🚨 Początkowy dostęp i skala
Datadog z umiarkowaną pewnością łączy tę aktywność z wykorzystaniem React2Shell (CVE-2025-55182, CVSS 10.0).
GreyNoise informuje o zaangażowaniu ponad 1000 unikalnych adresów IP, przy czym dominujący aktorzy preferują interaktywny dostęp zamiast kopania kryptowalut.
⚠️ Dlaczego to ważne
Ta kampania pokazuje, jak przejęcie na poziomie konfiguracji może umożliwić ukryte przechwytywanie ruchu, kradzież danych uwierzytelniających i dalsze ataki — wszystko bez zapisywania plików binarnych na dysku.
Co to oznacza dla przedsiębiorstw
• Integralność konfiguracji jest dziś kluczową kontrolą bezpieczeństwa – atakujący przejmują ruch webowy, zmieniając konfiguracje NGINX i całkowicie omijając tradycyjne wykrywanie złośliwego oprogramowania.
• Panele zarządzania to punkty wejścia wysokiego ryzyka – wystawione narzędzia, takie jak Baota (BT), mogą zapewniać bezpośrednią drogę do manipulowania ruchem produkcyjnym, jeśli nie zostaną ściśle ograniczone.
• Przechwytywanie ruchu umożliwia ciche przejęcie – kradzież danych uwierzytelniających, przejmowanie sesji i przechwytywanie danych mogą odbywać się bez alertów i bez śladów na punktach końcowych.
• Szybkość łatania i kontrola dostępu mają znaczenie – wykorzystanie React2Shell pokazuje, jak szybko krytyczne luki są uzbrajane po ich ujawnieniu.
• Widoczność musi wykraczać poza punkty końcowe – przedsiębiorstwa potrzebują monitorowania integralności plików, wykrywania dryfu konfiguracji i ograniczonego dostępu administracyjnego do infrastruktury webowej.
