پیکربندی‌های مخرب NGINX امکان کمپین گسترده ربودن ترافیک وب را فراهم می‌کنند

محققان امنیت سایبری جزئیات یک کمپین فعال ربودن ترافیک وب را افشا کردند که نصب‌های NGINX و پنل‌های مدیریتی مانند Baota (BT) را هدف قرار داده است تا ترافیک را از طریق زیرساخت مهاجمان هدایت کند. آزمایشگاه‌های امنیتی Datadog اعلام کرد که مهاجمان مرتبط با بهره‌برداری اخیر از آسیب‌پذیری React2Shell (CVE-2025-55182 با امتیاز CVSS برابر ۱۰.۰) از پیکربندی‌های مخرب NGINX برای انجام این حمله استفاده می‌کنند. این پیکربندی‌های مخرب ترافیک مشروع وب بین کاربران و وب‌سایت‌ها را رهگیری کرده و از طریق سرورهای تحت کنترل مهاجمان هدایت می‌کنند. این کمپین دامنه‌های سطح بالای آسیایی (.in، .id، .pe، .bd، .th)، زیرساخت میزبانی چینی (پنل Baota) و دامنه‌های دولتی و آموزشی (.edu، .gov) را هدف قرار می‌دهد.

این فعالیت شامل استفاده از اسکریپت‌های شل برای تزریق پیکربندی‌های مخرب به NGINX است. مهاجمان از یک مجموعه ابزار چند مرحله‌ای استفاده می‌کنند که شامل اسکریپت‌هایی مانند zx.sh، bt.sh، 4zdh.sh، zdh.sh و ok.sh است که برای ماندگاری و ایجاد فایل‌های پیکربندی مخرب طراحی شده‌اند. GreyNoise گزارش داد که دو آدرس IP حدود ۵۶ درصد از تمام تلاش‌های بهره‌برداری از React2Shell را دو ماه پس از افشای عمومی این آسیب‌پذیری به خود اختصاص داده‌اند، و در مجموع ۱۰۸۳ آدرس IP منحصربه‌فرد بین ۲۶ ژانویه تا ۲ فوریه ۲۰۲۶ در بهره‌برداری از این آسیب‌پذیری دخیل بوده‌اند. همچنین یک کمپین شناسایی هماهنگ علیه زیرساخت Citrix ADC Gateway و Netscaler Gateway با استفاده از ده‌ها هزار پروکسی مسکونی کشف شده است.