Mã độc PCPcat và ZnDoor liên tục khai thác React2Shell, an ninh web báo động đỏ

[WhiteHat Team]

Lỗ hổng React2Shell đang tiếp tục bị các nhóm tấn công lợi dụng để phát tán mã độc trên diện rộng. Chỉ trong thời gian ngắn, ít nhất hai dòng malware nguy hiểm là PCPcat và ZnDoor đã được ghi nhận khai thác trực tiếp lỗ hổng này để xâm nhập máy chủ, cài backdoor và chiếm quyền kiểm soát hệ thống. Diễn biến này cho thấy React2Shell chắc chắn không phải là một rủi ro lý thuyết mà đã trở thành vũ khí thực tế trong tay tin tặc, đe dọa hàng loạt website và hạ tầng web sử dụng React và Next.js trên toàn thế giới.
​

​

Nhắc lại một chút thì React2Shell là tên gọi của một lỗ hổng thực thi mã từ xa tồn tại trong React Server Components (RSC). Lỗ hổng này được gán mã CVE-2025-55182, với điểm CVSS 10 phản ánh mức độ nguy hiểm và cực kỳ nghiêm trọng.

Nguyên nhân của React2Shell xuất phát từ việc xử lý dữ liệu đầu vào không an toàn trong quá trình deserialization. Khi máy chủ nhận các request được chế tạo đặc biệt, hệ thống có thể vô tình giải mã và thực thi mã độc do kẻ tấn công cung cấp. Đáng lo ngại hơn, quá trình khai thác không yêu cầu xác thực, đồng nghĩa với việc bất kỳ ai từ Internet cũng có thể tấn công nếu hệ thống chưa được vá.

Do React và Next.js đang được sử dụng rộng rãi trong các website thương mại điện tử, nền tảng dịch vụ, hệ thống doanh nghiệp và cổng thông tin lớn, phạm vi ảnh hưởng của lỗ hổng này được đánh giá là rất rộng, lên tới hàng trăm nghìn máy chủ.​

PCPcat: Chiến dịch tấn công quy mô lớn tận dụng React2Shell​

Chiến dịch mã độc đầu tiên được ghi nhận khai thác React2Shell có tên PCPcat. Đây là một malware được thiết kế để tự động quét và xâm nhập hàng loạt máy chủ dễ tổn thương, với tốc độ lây lan rất nhanh.

Theo các nhà nghiên cứu, PCPcat sử dụng các payload JSON đặc biệt gửi tới endpoint React Server Components. Khi lỗ hổng React2Shell bị kích hoạt, mã độc ngay lập tức được thực thi trên máy chủ mục tiêu. Sau khi xâm nhập thành công, PCPcat tiến hành thu thập thông tin hệ thống, biến máy chủ bị nhiễm thành một phần của hạ tầng do kẻ tấn công kiểm soát.

Điểm đáng chú ý là trong vòng chưa đầy 48 giờ, chiến dịch này đã xâm nhập hàng chục nghìn máy chủ, cho thấy mức độ tự động hóa và hiệu quả rất cao. Không chỉ dừng lại ở việc chiếm quyền truy cập, PCPcat còn cài đặt các cơ chế duy trì truy cập lâu dài, giúp tin tặc tiếp tục kiểm soát hệ thống ngay cả khi lỗ hổng ban đầu đã được vá.​

ZnDoor: Chiến dịch backdoor tinh vi nhắm vào hạ tầng doanh nghiệp​

Song song với PCPcat, một dòng mã độc khác nguy hiểm hơn mang tên ZnDoor cũng được phát hiện khai thác React2Shell. Không giống các malware khai thác cơ hội thông thường, ZnDoor được thiết kế như một backdoor chuyên nghiệp, phục vụ cho các hoạt động xâm nhập có chủ đích và lâu dài.

Sau khi lợi dụng React2Shell để xâm nhập máy chủ, ZnDoor thiết lập kết nối tới máy chủ điều khiển từ xa (C2), cho phép kẻ tấn công thực hiện hàng loạt hành vi nguy hiểm như:​

• Thực thi lệnh từ xa​
• Đọc, ghi và xóa file​
• Thu thập thông tin hệ thống​
• Thiết lập proxy ngầm để che giấu lưu lượng độc hại​

ZnDoor còn được trang bị các kỹ thuật né tránh phát hiện, bao gồm ẩn tiến trình, thay đổi dấu thời gian file và tự động khôi phục nếu bị tắt. Điều này cho thấy đây không phải là mã độc “đánh nhanh rút gọn” mà là công cụ phục vụ cho các chiến dịch xâm nhập dài hạn, có khả năng liên quan đến gián điệp mạng hoặc tấn công có tổ chức.​

React2Shell đã bị lợi dụng như thế nào trong thực tế?​

Cả PCPcat và ZnDoor đều cho thấy một kịch bản khai thác rất rõ ràng: React2Shell trở thành điểm xâm nhập ban đầu, cho phép kẻ tấn công vượt qua mọi lớp bảo vệ ứng dụng web truyền thống. Chỉ cần một request được tạo đúng cách, máy chủ React/Next.js có thể bị chiếm quyền hoàn toàn. Từ đó, hacker có thể:​

• Cài đặt malware bổ sung​
• Tạo backdoor lâu dài​
• Biến máy chủ thành bàn đạp tấn công các hệ thống khác​
• Đánh cắp dữ liệu nhạy cảm hoặc tài nguyên tính toán​

Đây chính là lý do React2Shell được đánh giá là một trong những lỗ hổng web nguy hiểm nhất trong thời gian gần đây.​

Rủi ro và hậu quả nếu lỗ hổng bị khai thác​

Việc React2Shell bị khai thác dẫn tới hàng loạt rủi ro nghiêm trọng:​

• Website và dịch vụ trực tuyến có thể bị kiểm soát hoàn toàn​
• Dữ liệu người dùng, thông tin đăng nhập và khóa bí mật bị đánh cắp​
• Máy chủ bị biến thành botnet hoặc công cụ tấn công tiếp theo​
• Doanh nghiệp đối mặt nguy cơ gián đoạn dịch vụ, mất uy tín và thiệt hại tài chính lớn​

Trong môi trường doanh nghiệp, một máy chủ web bị xâm nhập có thể trở thành cửa ngõ để kẻ tấn công tiến sâu hơn vào hệ thống nội bộ.​

Phòng tránh và khuyến nghị từ chuyên gia an ninh mạng​

Các chuyên gia an ninh mạng khuyến cáo:​

• Cập nhật ngay lập tức React và Next.js lên các phiên bản đã vá React2Shell​
• Rà soát toàn bộ máy chủ để phát hiện dấu hiệu xâm nhập trước đó​
• Tăng cường giám sát log và lưu lượng bất thường​
• Triển khai các giải pháp bảo vệ ứng dụng web và phát hiện hành vi bất thường​
• Hạn chế quyền truy cập và tách biệt các dịch vụ quan trọng​

Việc chậm trễ cập nhật không chỉ khiến hệ thống đối mặt nguy cơ bị tấn công mà còn tạo điều kiện để malware duy trì sự hiện diện lâu dài.

Hai chiến dịch mã độc PCPcat và ZnDoor là minh chứng rõ ràng cho mức độ nguy hiểm thực sự của lỗ hổng React2Shell. Từ một lỗi kỹ thuật trong xử lý dữ liệu, React2Shell đã trở thành công cụ xâm nhập hiệu quả, giúp tin tặc nhanh chóng chiếm quyền máy chủ và triển khai các chiến dịch tấn công quy mô lớn. Trong bối cảnh các framework phổ biến ngày càng trở thành mục tiêu hấp dẫn, việc cập nhật kịp thời và giám sát an ninh chủ động không còn là lựa chọn mà là yêu cầu bắt buộc. React2Shell không chỉ là một lỗ hổng mà còn là lời cảnh báo rõ ràng về cái giá phải trả khi xem nhẹ an ninh ứng dụng web hiện đại.​

WhiteHat​