باندهای Ransomware به حملات SAP NetWeaver ادامه می دهند

باندهای Ransomware به حملات مداوم SAP NetWeaver پیوسته اند و از یک آسیب پذیری حداکثر تشریفات سوء استفاده می کنند که به بازیگران تهدید اجازه می دهد تا کدهای از راه دور را در سرورهای آسیب پذیر بدست آورند.

SAP تکه های اضطراری را در تاریخ 24 آوریل منتشر کرد تا به این آهنگساز بینایی NetWeaver بینایی نقص امنیتی بارگذاری شده (CVE-2025-31324) بپردازد ، روزها پس از اولین بار توسط شرکت امنیت سایبری ReliAquest به عنوان هدف در Wild.

بهره برداری موفقیت آمیز به بازیگران اجازه می دهد تا بدون نیاز به اعتبار ورود به سیستم ، پرونده های مخرب را بارگذاری کنند ، که به طور بالقوه منجر به سازش کامل سیستم می شود.

امروز ، در به روزرسانی در مشاوره اصلی خود ، ReliAquest فاش کرد که عملیات Ransomexx و Bianlian Ransomware نیز به این حملات پیوسته اند ، اگرچه هیچ بار بار باج افزار با موفقیت مستقر نشده است.

این شرکت امنیت سایبری گفت: “تجزیه و تحلیل مداوم شواهدی را نشان داده است که حاکی از درگیری از گروه باج افزار روسیه” Bianlian “و اپراتورهای خانواده Ransomware” Ransomexx “(توسط مایکروسافت به عنوان” Storm-2460 “ردیابی شده است.” “این یافته ها علاقه گسترده ای را برای بهره برداری از این آسیب پذیری در گروه های تهدید چندگانه نشان می دهد.”

ReliaQuest Bianlian را با حداقل یک حادثه با “اعتماد به نفس متوسط” بر اساس آدرس IP که توسط اپراتورهای باند Ransomware در گذشته استفاده می شود ، برای میزبانی یکی از سرورهای فرمان و کنترل (C2) مرتبط کرد.

در حملات Ransomexx ، بازیگران تهدید مستقر در پشت مدولار پیپمیاژیک باند و از CVE-2025-29824 Windows CLFS آسیب پذیری مورد سوء استفاده در حوادث قبلی مرتبط با این عملیات باج گیری استفاده کردند.

Reliacequest افزود: “این بدافزار فقط چند ساعت پس از بهره برداری جهانی در مورد Helper.JSP و Cache.jsp به کار گرفته شد. اگرچه تلاش اولیه انجام نشد ، یک حمله بعدی شامل استقرار چارچوب Brute Ratel C2 با استفاده از اجرای کار MSBuild Inline بود.”

همچنین توسط گروه های هک چینی مورد سوء استفاده قرار گرفت

محققان امنیتی Forescout Vedere Labs همچنین این حملات مداوم را به یک بازیگر تهدید چینی که آنها را به عنوان Chaya_004 ردیابی می کنند ، پیوند داده اند ، در حالی که Eclecticiq روز سه شنبه گزارش داد که سه APT های چینی دیگر (به عنوان مثال ، UNC5221 ، UNC5174 و CL-STA-0048) همچنین هدف های Netweaver را در برابر CVE-2025-2025-2025-2025-2025-31325 هدف قرار داده اند.

براساس پرونده های در معرض موجود در یک فهرست آشکار در دسترس در یکی از سرورهای ناامن این مهاجمان ، Forescout می گوید که آنها حداقل 581 نمونه SAP Netweaver (از جمله زیرساخت های بحرانی در انگلستان ، ایالات متحده و عربستان سعودی) را پشت سر گذاشته و قصد دارند 1،800 دامنه دیگر را هدف قرار دهند.

Forescout گفت: “دسترسی پشتی پشتی به این سیستم ها جایگاهی را برای APT های تراز شده در چین فراهم می کند ، که به طور بالقوه می تواند اهداف استراتژیک جمهوری خلق چین (PRC) ، از جمله نظامی ، اطلاعات یا مزیت اقتصادی را فراهم کند.”

“سیستم های SAP به خطر افتاده نیز به شبکه داخلی سیستم کنترل صنعتی (ICS) بسیار مرتبط هستند که خطرات حرکتی جانبی را ایجاد می کند ، که به طور بالقوه باعث ایجاد اختلال در سرویس در جاسوسی بلند مدت می شود.”

روز دوشنبه ، SAP همچنین دومین آسیب پذیری NetWeaver (CVE-2025-42999) را در این حملات به عنوان یک روز صفر در اوایل ماه مارس برای اجرای دستورات دلخواه از راه دور زنجیر کرده است.

برای جلوگیری از تلاش های نقض ، SAP Admins باید بلافاصله سرورهای NetWeaver خود را وصله کند یا در صورت امکان به روزرسانی ، سرویس پخش کننده بصری را غیرفعال کند. محدود کردن دسترسی به خدمات آپلود کننده ابرداده و نظارت بر فعالیت های مشکوک در سرورهای آنها نیز بسیار توصیه می شود.

CISA دو هفته پیش نقص CVE-2025-31324 را به کاتالوگ آسیب پذیری های مورد بهره برداری شناخته شده خود اضافه کرد و آژانس های فدرال را ملزم به تأمین سرورهای خود تا 20 ماه مه کردند ، همانطور که توسط دستورالعمل عملیاتی (BOD) 22-01 لازم است.