RondoDox ги експлоатира незакрпените XWiki сервери за да повлече повеќе уреди во својот ботнет

Ботнет малверот познат како RondoDox е забележан како ги таргетира незакрпените XWiki инстанци со користење на критична безбедносна ранливост која може да им овозможи на напаѓачите да постигнат произволно извршување на код.

Ранливоста за која станува збор е CVE-2025-24893 (CVSS резултат: 9.8), eval injection баг кој може да му дозволи на кој било guest корисник да изврши произволно далечинско извршување на код преку барање до крајната точка “/bin/get/Main/SolrSearch”. Таа беше закрпена од одржувачите во XWiki 15.10.11, 16.4.1 и 16.5.0RC1 кон крајот на февруари 2025.

Иако имаше докази дека недостатокот бил експлоатиран во дивина најмалку од март, дури кон крајот на октомври, кога VulnCheck откри дека забележал свежи обиди за оружување на ранливоста како дел од двостепена нападна низа за да се постави криптомiner.

Потоа, Американската агенција за сајбер-безбедност и инфраструктурна сигурност (CISA) ја додаде ранливоста во нејзиниот каталог на Познати Експлоатирани Ранливости (KEV), барајќи од федералните агенции да ги применат неопходните мерки до 20 ноември.

Во нов извештај објавен во петокот, VulnCheck откри дека оттогаш забележал пораст во обидите за експлоатација, достигнувајќи нов максимум на 7 ноември, проследен со уште еден бран на 11 ноември. Ова укажува на поширока скенирачка активност, веројатно водена од повеќе заканувачи кои учествуваат во напорите.

Ова го вклучува и RondoDox, ботнет кој брзо додава нови експлоатациски вектори за да ги вовлече ранливите уреди во ботнет за спроведување распределени напади за ускратување услуга (DDoS) користејќи HTTP, UDP и TCP протоколи. Првата RondoDox експлоатација беше забележана на 3 ноември 2025, според сајбер-безбедносната компанија.

Други напади беа забележани како ја експлоатираат ранливоста за испорака на криптоминери, како и обиди за воспоставување reverse shell и општа истражувачка активност користејќи Nuclei шаблон за CVE-2025-24893.

Откритијата уште еднаш ја илустрираат потребата од усвојување на силни практики за управување со закрпи за да се обезбеди оптимална заштита.

„CVE-2025-24893 е позната приказна: еден напаѓач се движи прв, а многумина следат,“ рече Џејкоб Бејнс од VulnCheck. „Во рок од неколку дена од почетната експлоатација, видовме ботнети, рудари и опортунистички скенери како ја усвојуваат истата ранливост.“

Извори:

• The Hacker News – RondoDox Exploits Unpatched XWiki Servers to Pull More Devices Into Its Botnet The Hacker News