Talos раскрыла масштабную кампанию по краже учетных данных из веб-приложений

Cisco Talos сообщила о крупной автоматизированной операции по сбору учетных данных, за которой стоит кластер UAT-10608. По данным исследователей, злоумышленники массово атаковали публичные веб-приложения, в первую очередь на Next.js, используя уязвимость React2Shell с идентификатором CVE-2025-55182 для удаленного выполнения кода без аутентификации.

После первоначального взлома в ход шли многоэтапные скрипты, которые автоматически вытаскивали из системы секреты окружения, SSH-ключи, облачные токены, историю команд, данные контейнеров и Kubernetes, а затем отправляли все это на командный сервер. Talos пишет, что основой операции был фреймворк NEXUS Listener с собственной веб-панелью, где операторы могли просматривать украденные данные и статистику по зараженным хостам.

Масштаб кампании оказался нетипично большим даже для автоматизированной кражи данных. На момент анализа Talos зафиксировала компрометацию как минимум 766 хостов. Примерно у 91,5% из них были похищены учетные данные к базам данных, у 78,2% - SSH-приватные ключи, у 25,6% - AWS-учетные данные, у 11,4% - рабочие ключи Stripe, у 8,6% - токены GitHub. Всего злоумышленники собрали более 10 тысяч файлов.

Отдельно исследователи подчеркивают, что речь идет не просто о краже паролей. Среди похищенного были строки подключения к базам данных с открытыми логинами и паролями, токены GitHub и GitLab, ключи OpenAI, Anthropic и других ИИ-платформ, а также временные облачные учетные данные, полученные через metadata-сервисы AWS, GCP и Azure. Это уже прямой риск захвата облачной инфраструктуры, бокового перемещения и даже атак на цепочку поставок через компрометацию реестров пакетов.