Η XE Hacker Group εκμεταλλεύεται το VeraCore Zero-Day

Κακόβουλοι παράγοντες εκμεταλλεύονται πολλαπλές ευπάθειες zero-day σε διάφορα λογισμικά, όπως το Progress Telerik UI για ASP.NET AJAX και το Advantive VeraCore. Στόχος τους είναι η ανάπτυξη  reverse shells και web shells, διασφαλίζοντας παράλληλα μόνιμη απομακρυσμένη πρόσβαση σε παραβιασμένα συστήματα.

Δείτε επίσης: Ευπάθεια zero-day της Zyxel επιτρέπει εκτέλεση αυθαίρετων εντολών

Η εκμετάλλευση των zero-day στο VeraCore αποδίδεται σε μια ομάδα απειλών γνωστή ως XE Hacker Group, μια ομάδα κυβερνοεγκληματιών με πιθανή καταγωγή από το Βιετνάμ, η οποία δραστηριοποιείται ενεργά στον κυβερνοχώρο από το 2010.

Τα εν λόγω ελαττώματα παρατίθενται παρακάτω:

• CVE-2024-57968 (βαθμολογία CVSS: 9,9) – Μια απεριόριστη μεταφόρτωση αρχείων με επικίνδυνη ευπάθεια που επιτρέπει στους απομακρυσμένους χρήστες που έχουν πιστοποιηθεί να ανεβάζουν αρχεία σε ακούσιους φακέλους (Διορθώθηκε στην έκδοση VeraCode 2024.4.2.1)
• CVE-2025-25181 (βαθμολογία CVSS: 5,8) – Μια ευπάθεια SQL injection που επιτρέπει στους απομακρυσμένους εισβολείς να εκτελούν αυθαίρετες εντολές SQL (Δεν υπάρχει διαθέσιμη ενημέρωση κώδικα)

Τα τελευταία ευρήματα από την Intezer και τη Solis Security αποκαλύπτουν ότι οι παραβιάσεις ασφαλείας αξιοποιούνται για την ανάπτυξη του web shell ASPXSpy, επιτρέποντας μη εξουσιοδοτημένη πρόσβαση σε μολυσμένα συστήματα. Σε μία περίπτωση, χρησιμοποιήθηκε η ευπάθεια CVE-2025-25181 ήδη από τις αρχές του 2020. Η δραστηριότητα εκμετάλλευσης εντοπίστηκε τον Νοέμβριο του 2024.

Δείτε ακόμα: Ivanti Zero-Day παραβιάζει το μητρώο τομέα του Ηνωμένου Βασιλείου

Τα web shells είναι εξοπλισμένα με δυνατότητες απαρίθμησης του συστήματος αρχείων, διήθησης αρχείων και συμπίεσης τους, χρησιμοποιώντας εργαλεία όπως το 7z. Η πρόσβαση καταχράται επίσης για την απόρριψη ενός ωφέλιμου φορτίου Meterpreter που επιχειρεί να συνδεθεί σε έναν διακομιστή ελεγχόμενο από τους χάκερ (“222.253.102[.]94:7979”) μέσω μιας υποδοχής Windows.

Η ανανεωμένη έκδοση του web shell προσφέρει μια σειρά από λειτουργίες που απλοποιούν τη σάρωση δικτύων, την εκτέλεση εντολών και την υποβολή ερωτημάτων SQL. Αυτές οι δυνατότητες επιτρέπουν την εξαγωγή κρίσιμων πληροφοριών ή την τροποποίηση υπαρχόντων δεδομένων με μεγαλύτερη ευκολία και αποτελεσματικότητα.

Ενώ οι προηγούμενες επιθέσεις της XE Hacker Group έχουν χρησιμοποιήσει γνωστά ελαττώματα, συγκεκριμένα στη διεπαφή χρήστη Telerik για το ASP.NET (CVE-2017-9248 και CVE-2019-18935, βαθμολογίες CVSS: 9,8), η νέα εκμετάλλευση σηματοδοτεί την πρώτη φορά που η ομάδα hacking ασχολήθηκε με μία ευπάθεια zero-day, κάτι που υποδεικνύει την στροφή τους σε πιο εξελιγμένες επιθέσεις.

Δείτε επίσης: Οι επιθέσεις zero-day του Ivanti διαδίδουν προσαρμοσμένο malware

Οι ευπάθειες Zero-Day, όπως αυτές του VeraCore, αποτελούν μία από τις πιο σοβαρές απειλές στον τομέα της κυβερνοασφάλειας. Πρόκειται για τρωτά σημεία σε λογισμικό ή συστήματα που είναι γνωστά στους επιτιθέμενους πριν ανακαλυφθούν ή επιδιορθωθούν από τους προγραμματιστές. Λόγω της φύσης τους, τέτοιες ευπάθειες συχνά αξιοποιούνται από κυβερνοεγκληματίες για επιθέσεις, εγκατάσταση κακόβουλου λογισμικού ή συλλογή ευαίσθητων δεδομένων, καθιστώντας την άμεση ανίχνευση και αντιμετώπισή τους απολύτως απαραίτητη.

Πηγή: thehackernews