UAT-10608 : Campagne automatisée de vol de credentials ciblant les apps Next.js via CVE-2025-55182

🔍 Contexte

Publié le 2 avril 2026 par Cisco Talos, cet article détaille une campagne de collecte automatisée de credentials à grande échelle attribuée au cluster de menace UAT-10608. L’analyse repose sur des données collectées à des fins de recherche, incluant l’accès à une instance NEXUS Listener non authentifiée.

🎯 Vecteur d’accès initial

UAT-10608 exploite CVE-2025-55182, aussi appelée React2Shell, une vulnérabilité de Remote Code Execution (RCE) pré-authentification affectant les React Server Components (RSC) et les frameworks qui en dépendent, notamment Next.js. La faille réside dans la désérialisation de payloads HTTP sans validation adéquate sur les endpoints Server Function, permettant une exécution de code arbitraire dans le processus Node.js côté serveur.

Les cibles sont identifiées via des scans automatisés, probablement alimentés par des services d’énumération comme Shodan ou Censys.

⚙️ Mécanisme d’attaque

Une fois l’accès initial obtenu, un dropper est déposé et exécute un script shell multi-phases via nohup depuis /tmp/ avec des noms aléatoires préfixés par un point (ex: /tmp/.eba9ee1e4.sh). Les phases de collecte incluent :

• environ / jsenv : variables d’environnement des processus et runtime JS
• ssh : clés privées SSH et fichiers authorized_keys
• tokens : extraction par pattern-matching de chaînes de credentials
• history : historique des commandes shell
• cloud_meta : interrogation des APIs de métadonnées AWS/GCP/Azure (IMDS)
• k8s : tokens de service account Kubernetes
• docker : configuration des conteneurs
• cmdline / proc_all : lignes de commande et variables d’environnement de tous les processus

Chaque phase envoie un callback HTTP au C2 sur le port 8080 avec le hostname victime, la phase et un identifiant unique.

🖥️ Infrastructure C2 : NEXUS Listener

Le framework C2 est une application web nommée NEXUS Listener (v3), protégée par mot de passe dans la plupart des cas. Elle offre une interface graphique avec statistiques, liste des hôtes compromis et accès aux données exfiltrées par catégorie. En 24h, le framework a compromis 766 hôtes.

📊 Données compromises

Les types de secrets exposés incluent : clés OpenAI, Anthropic, NVIDIA NIM, Stripe (sk_live_*), AWS, Azure, SendGrid, Telegram, GitHub PAT, GitLab tokens, chaînes de connexion base de données en clair, tokens Kubernetes, configurations Docker.

📌 Type d’article

Il s’agit d’une publication de recherche et d’analyse technique produite par Cisco Talos, visant à documenter la méthodologie, les outils, l’ampleur et les implications d’une campagne active de credential harvesting automatisé.

🧠 TTPs et IOCs détectés

Acteurs de menace

• UAT-10608 (unknown) — Malpedia

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
• T1552.004 — Unsecured Credentials: Private Keys (Credential Access)
• T1552.005 — Unsecured Credentials: Cloud Instance Metadata API (Credential Access)
• T1083 — File and Directory Discovery (Discovery)
• T1057 — Process Discovery (Discovery)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1082 — System Information Discovery (Discovery)
• T1613 — Container and Resource Discovery (Discovery)
• T1528 — Steal Application Access Token (Credential Access)
• T1046 — Network Service Discovery (Discovery)

IOC

• IPv4 : 144.172.102.88 — AbuseIPDB · VT · ThreatFox
• IPv4 : 172.86.127.128 — AbuseIPDB · VT · ThreatFox
• IPv4 : 144.172.112.136 — AbuseIPDB · VT · ThreatFox
• IPv4 : 144.172.117.112 — AbuseIPDB · VT · ThreatFox
• CVEs : CVE-2025-55182 — NVD · CIRCL
• Chemins : /tmp/.eba9ee1e4.sh
• Chemins : /tmp/.e40e7da0c.sh
• Chemins : /var/run/secrets/kubernetes.io/serviceaccount/token

Malware / Outils

• NEXUS Listener (framework)
• React2Shell exploit (tool)

🟢 Indice de vérification factuelle : 90/100 (haute)

• ✅ blog.talosintelligence.com — source reconnue (liste interne) (20pts)
• ✅ 14338 chars — texte complet (fulltext extrait) (15pts)
• ✅ 8 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
• ✅ 14 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : UAT-10608 (5pts)
• ⬜ 0/1 CVE(s) confirmée(s) (0pts)

IOCs confirmés externellement :

• 144.172.102.88 (ip) → VT (7/94 détections)
• 172.86.127.128 (ip) → VT (6/94 détections)
• 144.172.112.136 (ip) → AbuseIPDB (44% confiance, 82 signalements) + VT (15/94 détections)

🔗 Source originale : https://blog.talosintelligence.com/uat-10608-inside-a-large-scale-automated-credential-harvesting-operation-targeting-web-applications/