ハッカーがTelegram botsとAIツールを使用して、重大なReact2Shell脆弱性（CVE-2025-55182）を悪用した構造化された大規模搾取キャンペーンを実行しており、900以上の確認された侵害の証拠があります。
調査員は、Bissa scannerプラットフォームに関連付けられた露出したサーバーを発見しました。このサーバーは、単なるデータダンプではなく、複数被害者への悪用、ステージング、および検証に使用されました。
ログとプロジェクト成果物は、Bissa scannerがCVE-2025-55182用の専用モジュールを使用して、インターネットに面した数百万のターゲットをスキャンし、悪用の成功を自動的に確認していることを示しています。
この設定の中心にはReact2Shell（CVE-2025-55182）がありました。React Server ComponentsおよびNext.jsの10.0 CVSS認証前RCEで、単一のHTTPリクエストを介してコード実行を許可します。
1つの「確認されたヒット」ファイルには、900社以上の侵害された企業がリストされており、パッチが適用されていない環境に対する高い成功率を示しています。
AI支援搾取ワークフロー
露出したホストは、悪用、被害者データのステージング、認証情報の収集、およびオペレーターのワークフロー管理に関連する150以上のディレクトリにわたる13,000以上のファイルを含んでおり、組織化された操作を反映しています。
Claude CodeとOpenClawは、攻撃者のワークフローに緊密に統合され、コード審査、トラブルシューティング、オーケストレーション、および収集パイプラインの改善をサポートしました。
/bissascanner/プロジェクトのClaudeトランスクリプトは、オペレーターがモデルに対してscanner logicを理解し、leaseフローをデバッグし、パフォーマンスを改善し、取得モジュールを再構築するのに十分なコンポーネントドキュメントを作成するよう求めていることを示しています。
OpenClawログは、同じサーバー上のローカルAI制御面を明らかにし、WebSocketゲートウェイ、ブラウザ制御、モデルプール（claude-sonnet-4-6を含む）、およびTelegram関連プロバイダーハンドル@bissa_scan_botを備えていました。
React2Shell悪用は秘密の収集のために重くチューニングされ、.envファイル、クラウドメタデータ、Kubernetesサービスアカウント、ローカル認証情報ストア、データベース、およびウォレット素材に焦点を当てました。
オフボックスアーカイブとして使用されるFilebase S3互換ストレージバケット全体で、アナリストは400以上のenv-batch ZIPアーカイブ、30,000以上の異なる.envファイル名、および2026年4月10日から21日に収集された65,000以上のアーカイブファイルエントリを数えました。
盗まれた秘密は、ほぼすべての主要なSaaSティアにまたがり、AIプロバイダー（Anthropic、Google、OpenAI、Mistral、OpenRouter、Groq、Replicate、DeepSeek、HuggingFace）、クラウドプラットフォーム（AWS、Azure、Cloudflare、Google Cloud、DigitalOcean、Alchemy）、支払いおよび銀行サービス（Stripe、PayPal、Shopify、Square、Plaid）、メッセージングおよびメールAPI（Twilio、SendGrid、Telegram、Resend、Vonage、Postmark）、およびSupabaseやMongoDBなどのデータベースを含みます。
ソース管理、認証、およびGitHubなどの協業プラットフォーム、Auth0/Okta、Clerk、Slack、その他も認証情報の獲得に含まれ、オペレーターにより深い横展開のためのオプションを提供しました。
秘密を超えて、サーバーは機密性の高いビジネスレコードを持つ被害者固有のデータクラスターをホストしていました。
例には、税務および財務記録（被害者A）、サプライヤーおよび支払いプロセスデータに関連するOracle Fusionエクスポート（被害者B）、および給与、HRIS、およびstablecoin支払い情報（被害者C）が含まれ、財務およびプライバシーリスクの両方を強調しています。
C2およびトリアージサーフェスとしてのTelegram bots
同じボックスは、オペレーターのTelegramベースのコマンドおよびアラーティングレイヤーを露出し、操作の背後にある人間への珍しい洞察を提供しました。
Bissa scanner harness全体のRunnerスクリプトは、@bissapwned_bot（表示名「BissaPwned」、ボットユーザーID 8798206332）のTelegram botトークンを埋め込み、チャットID 1609309278に送信された通知を含みました。
Telegramメタデータは、その宛先をボットと単一のオペレーターの間のプライベートチャットに関連付け、公開ユーザー名@BonJoviGoesHardと表示名「Dr. Tube」を使用しました。
各ボットメッセージは、1つの確認されたCVE-2025-55182ヒットを絵文字で区切られた行としてエンコードし、被害者のアイデンティティ、ランタイムコンテキスト、特権レベル、クラウドポスチャ、およびアクセス可能な秘密を要約して、オペレーターがTelegramから数百のイベントを直接トリアージできるようにしました。
Bissa scannerは、取得ファイルに依存し、cs2.ip.thc.orgにホストされているZIPアーカイブから取得され、denemekulubum[.]com[.]tr/acquirer/などの取得エンドポイントから、古いフィードは以前wiprz[.]com/acquirer/でホストされていました。
scannerはローカル結果ディレクトリを監視し、.envファイルをZIPにバッチ処理し、s3.filebase[.]comのFilebaseに「bissapromax」バケットの/archivesの下にアップロードし、初期段階は「bissa」と「bissa2」としてラベル付けされました。
プラットフォームはまた、W3 Total Cache（pre-2.8.13）のCVE-2025-9501用のWordPressモジュールを含みました。ただし、バージョンチェックのみが存在し、このパス経由での悪用の成功は確認されませんでした。
全体として、証拠は成熟したモジュール式の操作を指しています：インターネット規模でスキャンおよび悪用し、秘密を収集および一元化し、その後AIおよびTelegram botsを使用して、金融、暗号化、小売などのセクターで最も価値のある被害者を検証、スコア化、優先付けします。
ディフェンダーは、React2Shell影響を受けるスタックを急速にパッチし、本番環境認証情報を管理された秘密ストアに移動し、厳密なアイデンティティとRBAC制御でブラスト半径を縮小し、ストレージおよびメッセージングAPIへのエグレスを監視し、攻撃者が兵器化する前に漏洩したキーを積極的にローテーションおよび検出することを促されています。
翻訳元: https://gbhackers.com/900-react2shell-exploited/
