文章总结： 攻击者正大规模利用React2Shell漏洞(CVE-2025-55182)投递挖矿程序与PeerBlight后门等多种新型恶意软件。攻击已影响多行业，且可能通过自动化工具进行。鉴于漏洞危害极高，安全机构强烈建议立即更新react-server-dom相关组件，全球已发现超16万个存在漏洞的IP。
综合评分： 96
文章分类： 漏洞分析,漏洞预警,威胁情报,恶意软件,WEB安全
攻击者借助 React2Shell 漏洞向多行业投递挖矿程序与恶意软件
HackerNews
安全威胁纵横
2025年12月11日 14:50
湖北
高危漏洞
紧急修复指南
RCE Patch
根据Huntress公司的新发现，React2Shell漏洞正持续遭遇大规模利用，威胁行为者利用React服务器组件中一个严重程度最高的安全漏洞，来投递加密货币挖矿程序及一系列此前未被记录的恶意软件家族。
推测e
1
攻击详情
这些新型恶意软件包括一款名为PeerBlight的Linux后门、一个名为CowTunnel的反向代理隧道工具，以及一个被称为ZinFoq的基于Go语言的攻陷后植入程序。
Huntress表示，已检测到攻击者通过CVE-2025-55182漏洞针对众多组织进行攻击。此漏洞是RSC组件中的严重安全缺陷，攻击者可利用该漏洞实现未授权远程代码执行。截至2025年12月8日，攻击已覆盖多个行业，其中建筑业和娱乐业成为主要受害领域。
Huntress首次记录到针对Windows终端的利用尝试可追溯到2025年12月4日。当时，一个未知威胁行为者利用了存在漏洞的Next.js实例来投递一个shell脚本，随后通过命令下载加密货币挖矿程序和Linux后门。
在另外两起事件中，攻击者执行了信息探测命令，并试图从C2服务器下载多个恶意载荷。部分典型入侵事件还专门针对 Linux 主机投放了门罗币加密货币挖矿程序，此外攻击者还会先利用一款公开的GitHub工具定位存在漏洞的 Next.js 实例，再发起攻击。
Huntress研究员指出：“基于在多个终端观察到的持续攻击模式，包括完全相同的漏洞探测、shell代码测试和C2基础设施，我们评估该威胁行为者很可能在利用自动化的漏洞利用工具”，“攻击者向 Windows 终端尝试部署 Linux 专属恶意载荷的行为，进一步佐证了该自动化工具未对目标操作系统进行区分”。
02
恶意载荷
攻击中投放的主要恶意载荷包括：
- sex.sh：一款bash脚本，可直接从GitHub获取XMRig 6.24.0矿机程序
- PeerBlight：Linux后门程序，与2021年出现的RotaJakiro 和Pink两款恶意软件存在部分代码重合；它会创建systemd 服务实现持久化驻留，并伪装成“ksoftirqd”守护进程以躲避检测
- CowTunnel：反向代理工具，可主动与攻击者控制的快速反向代理服务器建立出站连接，以此绕过仅监控入站连接的防火墙
- ZinFoq：Linux平台ELF格式二进制文件，集成了一套后期渗透框架，具备交互式shell、文件操作、网络跳板、时间戳篡改等功能
- d5.sh：投放Sliver C2框架的加载器脚本
- fn22.sh：d5.sh的变种，新增了自更新机制，可获取恶意软件新版本并重启运行
- wocaosinm.sh：Kaiji DDoS 恶意软件的变种，整合了远程管理、持久化和反检测能力
PeerBlight支持与硬编码的C2服务器建立通信的能力，允许其上传/下载/删除文件、生成反向shell、修改文件权限、运行任意二进制文件以及自我更新。该后门还利用了域名生成算法和BitTorrent分布式哈希表网络作为备用的C2机制。
研究人员解释道：“后门接入DHT网络后，会以固定前缀LOLlolLOL注册节点ID。这9字节的前缀是该僵尸网络的标识，而20字节DHT节点ID的剩余11字节则为随机生成。”
Huntress表示，已识别出了超过60个带有LOLlolLOL前缀的唯一节点，同时指出受感染僵尸主机需满足多项条件，才会向其他节点共享自身 C2 配置：需具备有效客户端版本、响应节点需存有可用配置、且需匹配正确的事务 ID。
即便满足所有必要条件，这类僵尸主机也仅会在约三分之一的情况下通过随机校验共享配置，此举或为降低网络流量特征、规避检测。
ZinFoq植入程序同样会向其C2服务器发送心跳信号，并可解析接收的指令，执行以下操作：通过 “/bin/bash” 运行命令、枚举目录、读取或删除文件、从指定 URL 下载更多恶意载荷、窃取文件及系统信息、启动 / 停止 SOCKS5 代理、开启 / 关闭 TCP 端口转发、篡改文件访问和修改时间、建立反向伪终端（PTY）shell连接。
此外，ZinFoq还会清除bash历史记录，并将自身伪装成44种合法Linux系统服务之一（例如 “/sbin/audispd” “/usr/sbin/ModemManager” “/usr/libexec/colord” 或 “/usr/sbin/cron -f”），以此隐藏自身踪迹。
03
安全提醒
Huntress提醒，鉴于该漏洞 “易被利用且危害等级极高”，所有使用 react-server-dom-webpack、react-server-dom-parcel或react-server-dom-turbopack 组件的组织应立即完成版本更新。
此消息发布之际，Shadowserver基金会表示，在优化扫描目标策略后，截至 2025 年 12 月 8 日，已检测到超16.5万个存在漏洞代码的IP地址和64.4万个相关域名。其中美国境内的漏洞实例数量超9.92万个，其后依次为德国（1.41万个）、法国（6400个）和印度（4500个）。
转载请注明出处@安全威胁纵横，封面来源于网络；
消息来源：https://thehackernews.com/2025/12/react2shell-exploitation-delivers.html
更多网络安全视频，请关注视频号“知道创宇404实验室”
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全威胁纵横 HackerNews《攻击者借助 React2Shell 漏洞向多行业投递挖矿程序与恶意软件》