هکرهای کره شمالی از آسیب‌پذیری React2Shell در حملات بدافزار EtherRAT سوءاستفاده می‌کنند

بدافزار جدیدی به نام EtherRAT که در حملات اخیر React2Shell مستقر شده، از پنج مکانیسم پایداری جداگانه در لینوکس استفاده می‌کند و برای ارتباط با مهاجم از قراردادهای هوشمند اتریوم (Ethereum smart contracts) بهره می‌برد. محققان شرکت امنیت ابری Sysdig معتقدند این بدافزار با ابزارهای کره شمالی در کمپین‌های Contagious Interview همخوانی دارد. آن‌ها EtherRAT را تنها دو روز پس از افشای آسیب‌پذیری بحرانی React2Shell با شناسه CVE-2025-55182 از یک برنامه Next.js آسیب‌دیده بازیابی کردند. این آسیب‌پذیری با حداکثر شدت، یک نقص غیرسریال‌سازی (deserialization) در پروتکل React Server Components است که اجرای کد از راه دور بدون احراز هویت را امکان‌پذیر می‌سازد و تعداد زیادی از محیط‌های ابری را تحت تأثیر قرار داده است.

EtherRAT از زنجیره حمله چندمرحله‌ای استفاده می‌کند و ویژگی‌های پیشرفته‌ای از جمله ارتباط فرمان و کنترل مبتنی بر بلاک‌چین، پایداری چندلایه در لینوکس، بازنویسی بارگذاری در لحظه و فرار از تشخیص با استفاده از محیط اجرای کامل Node.js دارد. این بدافزار با استعلام موازی از نه ارائه‌دهنده عمومی Ethereum RPC و انتخاب نتیجه اکثریت، از مسمومیت تک‌گره جلوگیری می‌کند. همچنین با نصب پنج لایه پایداری شامل Cron jobs، تزریق bashrc، XDG autostart، سرویس کاربر Systemd و تزریق Profile، دسترسی مداوم به سیستم‌های آسیب‌دیده را تضمین می‌کند. با توجه به بهره‌برداری گسترده از React2Shell توسط گروه‌های مختلف از جمله گروه‌های مرتبط با چین، مدیران سیستم توصیه می‌شوند هرچه سریع‌تر به نسخه‌های امن React/Next.js ارتقا دهند.