Web Trafiğini Kötü Amaçlı Sunuculara Yönlendirmek için NGINX Sunucularını Hackleyen Tehdit Aktörleri

Tehdit aktörlerinin web trafiğini kötü amaçlı hedeflere yönlendirmek için NGINX sunucularını gizlice tehlikeye attığı sofistike bir kampanya. Daha önce "React2Shell" açıklarından yararlanan saldırganlar, şimdi özellikle Asya'da yaygın olarak kullanılan Baota (BT) yönetim panelini kullanan NGINX yapılandırmalarını hedefliyor. Saldırı Nasıl Çalışır?

Geleneksel kötü amaçlı yazılım yüklemek yerine, bu saldırganlar sunucunun meşru yapılandırma dosyalarını değiştirir. NGINX'in konum bloklarına kötü amaçlı direktifler ekleyerek, kullanıcı trafiğini engelleyebilir ve site sahibi hemen fark etmeden saldırgan tarafından kontrol edilen sunucular üzerinden yönlendirebilirler. NGINX saldırı akış şeması (kaynak: Datadog Security Labs)

Saldırının çekirdeği proxy_pass yönergesine dayanır. Bu standart NGINX özelliği, trafiği arka uç sunuculara (bir PHP uygulaması gibi) iletmek için tasarlanmıştır. The campaign uses a straightforward, automated workflow involving several shell scripts:

Script Name RolePrimary FunctionTarget zx.shThe OrchestratorInitializes environment and downloads required toolsActs as entry point for the attack chainbt.shBaota InjectorScans for Baota panel configs and injects malicious codeTargets /www/server/panel/vhost/nginx4zdh.shAdvanced InjectionInjects payload into NGINX configs after validationTargets generic Linux NGINX installszdh.shAdvanced InjectionSame as 4zdh.sh with config verificationCollects and uploads the hijacked domain listok.shExfiltrationActs as an entry point for the attack chainSends data to attacker C2 server

However, the attackers reconfigure it to send users to their own malicious domains, such as gambling or scam sites. Ayrıca, ele geçirilen trafiğin meşru görünümlü başlıkları koruduğundan emin olmak için proxy_set_header kullanırlar ve bu da yeniden yönlendirmenin standart günlüklerde algılanmasını zorlaştırır. location /%PATH %/{
set $ fullurl "$scheme ://$host$request_uri ";
yeniden yaz ^/%path %/?(.*) $ /index.