Een aan China gelinkte, niet nader genoemde dreigingsactor met de codenaam Chaya\_004 is waargenomen bij het misbruiken van een recent bekendgemaakte beveiligingsfout in SAP NetWeaver.
Volgens een donderdag gepubliceerd rapport van Forescout Vedere Labs werd er een kwaadaardige infrastructuur ontdekt die waarschijnlijk verband houdt met de hackersgroep. Zij maken sinds 29 april 2025 gebruik van CVE-2025-31324 (CVSS-score: 10.0).
CVE-2025-31324 betreft een kritieke fout in SAP NetWeaver die aanvallers in staat stelt om remote code execution (RCE) uit te voeren door webshells te uploaden via een kwetsbaar /developmentserver/metadatauploader-eindpunt.
ReliaQuest waarschuwde als eerste voor deze kwetsbaarheid eind vorige maand, toen werd vastgesteld dat deze in de praktijk werd misbruikt door onbekende dreigingsactoren om webshells en het Brute Ratel C4 post-exploitatieplatform te plaatsen.
Cyberbeveiliging
Volgens Onapsis zijn wereldwijd honderden SAP-systemen getroffen door aanvallen, verspreid over verschillende sectoren en geografische locaties, waaronder energie- en nutsbedrijven, productie, media en entertainment, olie en gas, farmaceutica, detailhandel en overheidsorganisaties.
Het beveiligingsbedrijf stelde vast dat al sinds 20 januari 2025 verkenningsactiviteiten plaatsvonden, waarbij werd getest met specifieke payloads op deze kwetsbaarheid in hun honeypots. Succesvolle plaatsing van webshells werd waargenomen tussen 14 en 31 maart.
Google-dochter Mandiant, die ook betrokken is bij incidentrespons, heeft bewijs dat de eerste bekende exploitatie plaatsvond op 12 maart 2025.
In de afgelopen dagen zouden meerdere dreigingsactoren gebruik zijn gaan maken van deze kwetsbaarheid om op opportunistische wijze kwetsbare systemen aan te vallen met webshells of zelfs cryptovaluta te delven.
Volgens Forescout behoort ook Chaya\_004 hiertoe. Deze actor host een op het web gebaseerde reverse shell geschreven in Golang, genaamd SuperShell, op het IP-adres 47.97.42\[.]177. Het OT-beveiligingsbedrijf ontdekte dit IP-adres in een ELF-binary met de naam config die in de aanval werd gebruikt.
Volgens onderzoekers Sai Molige en Luca Barba van Forescout bleek dat het IP-adres waarop Supershell draait (47.97.42[.]177) ook meerdere open netwerkaansluitingen heeft. Eén daarvan is poort 3232, die draait op HTTP en gebruikmaakt van een ongebruikelijk, zelf gegenereerd certificaat dat zich voordoet als afkomstig van Cloudflare.
Meerdere tools
Verdere analyse wees uit dat de dreigingsactor meerdere tools host op hun infrastructuur: NPS, SoftEther VPN, Cobalt Strike, Asset Reconnaissance Lighthouse (ARL), Pocassit, GOSINT en GO Simple Tunnel.
De inzet van Chinese cloudplatforms en het gebruik van tools die in het Chinees zijn geschreven, duiden erop dat de aanvallers hoogstwaarschijnlijk in China zijn gevestigd, aldus de onderzoekers.
Om zich tegen dergelijke aanvallen te beschermen, is het essentieel dat gebruikers zo snel mogelijk de patches toepassen (indien nog niet gedaan), de toegang tot het metadata-uploader-eindpunt beperken, de Visual Composer-service uitschakelen als deze niet wordt gebruikt, en verdachte activiteiten monitoren.
Juan Pablo JP Perez-Etchegoyen, CTO van Onapsis, vertelde aan The Hacker News dat de activiteit die door Forescout is aangetoond na het uitkomen van de patch plaatsvindt. Volgens Perez-Etchegoyen vormt deze ontwikkeling een toenemend risico, omdat niet alleen minder geavanceerde hackers hierop inspelen, maar ook geavanceerde dreigingsactoren snel profiteren van bestaande kwetsbaarheden om hun toegang verder uit te breiden.