RondoDox-botnettet utnytter sårbarhet i Next.js

CloudSEK har fulgt botnettkampanjen RondoDox gjennom ni måneder. Den startet i mars med rekognosering og sårbarhetsskanning, utvidet seg fra april til webapplikasjoner og IoT-enheter, og fra juli dukket selve botnettet opp. Fra desember er sårbarheten CVE-2025-55182 i Next.js aktivt utnyttet, etter en innledende skanneperiode for å finne sårbare servere. Nyttelastene omfatter React2Shell og kryptoutvinnere. Aktørene har gått fra manuell testing til utnyttelse hver time, og botnettet støtter flere prosessorarkitekturer med reservemekanismer for levering.

Hva det betyr for virksomheten

Next.js er utbredt i norske nettsteder og kundeportaler, og slike systemer eies ofte av et byrå eller et produktteam framfor av IT-drift. Etter kompromittering følger risiko for tyveri av legitimasjoner og videre bevegelse innover i miljøet. Når utnyttelsen er automatisert på timesbasis, er eksponeringsvinduet kort.

Berigo anbefaler

• Kartlegg hvilke av deres eksponerte tjenester som kjører Next.js, inkludert dem leverandøren drifter.
• Oppdater til rettet versjon, og be om skriftlig bekreftelse fra byrå eller driftsleverandør på at det er gjort.
• Skill webservere fra interne nett, slik at et kompromiss ikke gir videre bevegelse.
• Sjekk om servere har uventet CPU-bruk eller utgående forbindelser fra perioden fra desember.

Kilde

• cloudsek.com