Operacija PCPcat: Ugroženo 59,000 Next.js i React servera

PCPcat operacija, koju je sigurnosni istraživač Mario Candela razotkrio, predstavlja naprednu kampanju krađe podataka za prijavu. Ova kampanja koristi automatizovane tehnike skeniranja i eksploatacije kako bi ugrozila mehanizme provjere identiteta u oblaku. Za manje od 48 sati, PCPcat operacija je kompromitovala preko 59.000 Next.js i React servera, čime je istaknuta kritična ranjivost u bezbjednosti infrastrukture u oblaku.

OPERACIJA PCPCAT

Iskorištavanje ranjivosti predstavlja uobičajenu taktiku koju zlonamjerni akteri koriste kako bi stekli neovlašten pristup sistemima. U slučaju operacije PCPcat, identifikovane su dvije kritične slabosti – CVE-2025-29927 i CVE-2025-66478. One pogađaju implementacije razvojnog okruženja Next.js, omogućavajući zlonamjernim akterima daljinsko izvršavanje proizvoljnog kôda.

Važnost ovih ranjivosti ogleda se u njihovom potencijalu da ugroze aplikacije zasnovane na React biblioteci za izgradnju korisničkih okruženja. React, kao popularna JavaScript biblioteka, široko je primijenjen u različitim industrijama. Iskorištavanje njenih ranjivosti može dovesti do ozbiljnih posljedica, uključujući neovlašteno izvršavanje komandi i zaobilaženje tradicionalnih mehanizama provjere identiteta.

 

Masovno skeniranje i identifikacija ranjivosti

Napad u okviru operacije PCPcat započinje masovnim skeniranjem javno dostupnih domena koji koriste ranjiva React razvojna okruženja. Ovaj početni korak ključan je za identifikaciju sistema koje zlonamjerni akteri mogu ciljati. Upotreba automatizovanih alata omogućava im da brzo pregledaju veliki broj IP adresa, tražeći slabosti koje se mogu iskoristiti.

Kada se otkrije ranjiv server, zlonamjerni akteri primjenjuju različite tehnike radi prikupljanja podataka o njegovoj konfiguraciji i zavisnostima. To obuhvata analizu mrežnog saobraćaja, ispitivanje sistemskih zapisa ili korištenje specijalizovanog softvera za prepoznavanje poznatih ranjivosti. U ovom slučaju, iskorištavanje dvije identifikovane ranjivosti omogućava im da uspostave uporište na ciljanim sistemima.

U nastavku koriste tehniku poznatu kao zagađenje prototipa, kojom manipulišu prototipovima JavaScript objekata. Ova klasa ranjivosti omogućava ubrizgavanje zlonamjernih tereta kroz kreirane JSON podatke, čime se server zloupotrebljava za izvršavanje neovlaštenih komandi.

Zagađenje prototipa predstavlja snažno oruđe koje zlonamjernim akterima daje mogućnost da zaobiđu tradicionalne mehanizme provjere identiteta i preuzmu potpunu kontrolu nad ranjivim React serverima bez važećih podataka za prijavu. Manipulisanjem lanca prototipa oni mogu da dodaju nova svojstva ili izmijene postojeća, što dovodi do neočekivanog ponašanja i ugrožavanja bezbjednosti.

Korištenje JSON podataka za ubrizgavanje zlonamjernih tereta dodatno komplikuje napad. Kreirani objekti mogu biti oblikovani tako da izbjegnu otkrivanje standardnim bezbjednosnim mjerama, što braniocima otežava pravovremeno prepoznavanje i ublažavanje ovakvih prijetnji.

Operativni pokazatelji kampanje PCPcat ukazuju na ozbiljnu prijetnju. Procjenjuje se da je ukradeno između 300.000 i 590.000 skupova podataka za prijavu sa ranjivih servera, što jasno govori o razmjerama napada. Takva djelotvornost pokazuje da operacija ima potencijal da se koristi za obavještajne aktivnosti i krađu podataka na industrijskoj skali. Dodatno, uspjeh lanca napada naglašen je sposobnošću da izbjegne mehanizme detekcije, pa je stopa eksploatacije dostigla 64,6% među ciljanom infrastrukturom. Ovi rezultati nedvosmisleno potvrđuju snagu kampanje.

 

Krađa podataka za prijavu

Kada se pristup jednom ostvari, zlonamjerni softver koji je rasporedila operacija PCPcat odmah se aktivira i usmjerava na krađu podataka za prijavu. On sistematski pretražuje osjetljive informacije sačuvane u sistemu, uključujući .env konfiguracione datoteke, SSH privatne ključeve, podatke za prijavu na servise u oblaku i promjenljive sistemskog okruženja. Takvi podaci zlonamjernim akterima potencijalno otvaraju pristup širim komponentama infrastrukture, poput AWS naloga, Docker okruženja i internih mreža.

Sistematska pretraga osjetljivih podataka obilježje je zlonamjernog softvera operacije PCPcat. Davanjem prioriteta .env datotekama, SSH privatnim ključevima, podacima za prijavu u oblaku i promjenljivim sistemskog okruženja, zlonamjerni akteri postižu maksimalnu djelotvornost u prikupljanju podataka. Ovakav pristup osigurava da su kompromitovani sistemi temeljno iskorišteni, čime se povećava rizik od naknadnih napada na šire komponente infrastrukture.

Naglašeni fokus na krađu podataka za prijavu, a ne na iskorištavanje pojedinačnih ranjivosti, ukazuje na širi strateški cilj: uspostavljanje trajnih pristupnih tačaka unutar ciljanih mreža. Krađom podataka za prijavu za usluge u oblaku i privatnih SSH ključeva, zlonamjerni akteri mogu održati dugoročnu kontrolu nad infrastrukturom, omogućavajući kontinuirane napore eksploatacije.

Infrastruktura komandovanja i kontrole

Infrastruktura komandovanja i kontrole (C2) čini osnovu operacije PCPcat i omogućava zlonamjernim akterima da uspostave prisustvo na ciljanim sistemima i koordiniraju aktivnosti u širokom obimu. Centralizovani server smješten u Singapuru povezuje ranije ugrožene mašine sa operativnim centrom, dodjeljuje nove ciljeve za skeniranje i prikuplja podatke izvučene sa inficiranih sistema. Ovakva mreža od presudnog je značaja za uspjeh kampanje, jer zlonamjernim akterima pruža mogućnost da prilagođavaju taktike i održavaju kontrolu nad ranjivim resursima.

Sigurnosni istraživač uspio je da ostvari direktan pristup ovom serveru putem javno dostupne interne kontrolne table. Ona je otkrila četiri primarne API krajnje tačke koje se koriste za dodjelu zadataka, prihvatanje ukradenih podataka i prikaz operativne statistike. Posebno je uočeno da GET/stats tačka omogućava neautentifikovan pristup metrikama kampanje, uključujući podatke o skeniranim IP adresama i ranije ugroženim serverima. Ovakav propust ukazuje na ozbiljnu slabost infrastrukture, jer otvara prostor za insajderske prijetnje i neovlašteno korištenje osjetljivih informacija.

Kontrolna tabla pružila je jedinstven uvid u razmjere operacije PCPcat, potvrđujući njen industrijski obim i brzo širenje preko ranjivih React servera. Statistika dobijena iz ovog izvora jasno je pokazala razmjenu podataka u okviru kampanje i naglasila potrebu za hitnim djelovanjem radi ublažavanja posljedica.

 

Samoodrživi krug infekcije

Operacija PCPcat pokazala je primjenu razvijene paradigme automatizacije koja omogućava samoodrživi krug infekcije. Ovakav dizajn ključan je za razumijevanje obima i uticaja aktivnosti zlonamjernog aktera.

Korištenje systemd servisa za podešavanje posredničkih (eng. proxy) alata poput GOST i Fast Reverse Proxy obezbjeđuje neprimjetnu integraciju sa postojećim mehanizmima upravljanja. Na taj način ranjivi sistemi zadržavaju funkcionalnost i vezu sa C2 serverom čak i nakon ponovnog pokretanja ili mrežnih prekida, što učvršćuje kontrolu nad infrastrukturom i naglašava dugoročno iskorištavanje.

Softver svakih 45 minuta traži nove ciljne IP adrese od komandno-kontrolnog (C2) servera, pri čemu svaka mašina zahtijeva oko 2.000 novih ciljeva. Time se stvara povratni krug koji produžava ciklus infekcije bez potrebe za direktnom intervencijom operatera.

Ovakva organizacija ukazuje da iza kampanje stoji dobro opremljen i visoko organizovan zlonamjerni akter, a ne neko ko koristi ranjivosti radi kratkoročnih koristi. Ta razlika od suštinskog je značaja za odbranu i pokušaje ublažavanja posljedica.

Samoodrživi mehanizam zasniva se na kontinuiranom traženju novih ciljeva, što omogućava produžene aktivnosti kampanje i otežava odbranu. Razumijevanje ovog procesa ključno je za razvoj strategija koje mogu omesti ili razbiti ciklus infekcije.

Ovakav dizajn ima ozbiljne posljedice za bezbjednost. Shvatanjem načina na koji se održava krug infekcije, timovi za odbranu mogu razviti ciljane mjere koje će ga omesti ili potpuno razbiti.

 

UTICAJ

Uticaj operacije PCPcat predstavlja surov podsjetnik na sveprisutni pejzaž prijetnji sa kojima se organizacije i pojedinci suočavaju u današnjem digitalnom dobu. Ova napredna sajber kampanja pokazala je neviđen nivo automatizacije, skalabilnosti i upornosti, ostavljajući za sobom trag kompromitovanih servera i ukradenih podataka za prijavu.

Razmjera operacije svjedoči o domišljatosti i odlučnosti uključenih zlonamjernih aktera. Posljedice po organizacije su dalekosežne i potencijalno razorne. Sa hiljadama već kompromitovanih servera, rizik od ugrožavanja podataka, krađe intelektualne svojine i narušavanja reputacije postaje veoma realan. Dodatno zabrinjava činjenica da svaka kompromitovana mašina može zahtijevati nove ciljne IP adrese svakih 45 minuta od centralnog komandnog servera, stvarajući petlju infekcije koja se širi bez direktnog učešća operatera.

Uticaj na korisnike je podjednako ozbiljan. Kako se operacija PCPcat dalje razvija, raste vjerovatnoća da će ukradeni podaci za prijavu biti prodati ili iskorišteni za nove zlonamjerne aktivnosti. Time se ugrožava zaštita ličnih podataka i digitalna bezbjednost uopšte. Posebno zabrinjava što kampanja cilja React razvojno okruženje i servere, čime se jasno ističe ranjivost modernih JavaScript ekosistema.

Infrastruktura postojanosti koju su izgradili zlonamjerni akteri predstavlja dodatno polje rizika. Višeslojni pristup, uključujući sistemske servise i C2 API krajnje tačke, pokazuje da je u operaciju PCPcat uložen značajan napor kako bi se obezbijedilo trajno prisustvo na kompromitovanim sistemima. Ovakav nivo složenosti dodatno otežava braniocima da otkriju napade i efikasno reaguju.

Analiza potvrđuje da je za manje od 48 sati kompromitovano preko 59.000 servera, što jasno pokazuje brzinu kojom se ovakve prijetnje mogu razviti. Javna dostupnost C2 API krajnje tačke bez provjere identiteta dodatno pogoršava problem, jer omogućava i drugim zlonamjernim akterima da prošire svoj doseg i preuzmu kontrolu nad kompromitovanim sistemima.

 

ZAKLJUČAK

Operacija PCPcat se odlikuje naprednim načinom napada, koji spaja iskorištavanje ranjivosti u Next.js i React okruženjima sa sistematskim izvlačenjem podataka za prijavu i drugih osjetljivih informacija. Takav pristup zlonamjernim akterima omogućava postavljanje C2 infrastrukture radi trajnosti i komunikacije, što na kraju vodi do komande i kontrole preko API krajnjih tačaka.

Stopa uspješnosti od 64,6% pokazuje da kampanja ima visok stepen djelotvornosti u pogađanju ranjivih sistema. Korištenje propusta CVE-2025-29927 i CVE-2025-66478 ukazuje na jasno poznavanje slabosti u Next.js i React aplikacijama. Ovo znanje se koristi za daljinsko izvršavanje kôda, čime zlonamjerni akteri dobijaju mogućnost da pokreću zlonamjerne programe na napadnutim serverima. Sposobnost kampanje da se prilagođava i razvija potvrđuje njen visok nivo razvijenosti.

Za manje od 48 sati operacija PCPcat zahvatila je preko 59.000 servera, dok je C2 API ostao javno dostupan bez provjere identiteta. Odsustvo bezbjednosnih kontrola može omogućiti i drugim zlonamjernim akterima da pristupe kompromitovanim sistemima i preuzmu kontrolu nad njima, čime je prijetnja dodatno proširena. Istovremeno, povezivanje sistemskih servisa sa C2 API krajnjim tačkama obezbijedilo je višeslojnu infrastrukturu trajnosti, što je napad učinilo otpornijim i znatno težim za otkrivanje.

Ova operacija predstavlja ozbiljnu prijetnju koja zahtijeva hitnu reakciju programerske zajednice. Njena sposobnost da se širi, mijenja i prilagođava čini je opasnim protivnikom. Razumijevanje taktika, tehnika i postupaka koje koristi neophodno je za izgradnju djelotvornih odbrambenih mjera.

Operacija PCPcat jasno ukazuje na značaj bezbjednosti u razvoju softvera. Programeri moraju staviti akcenat na bezbjedne prakse pri pisanju kôda, pravovremeno otklanjanje slabosti i redovna ažuriranja. Samo zajedničkim naporom programera, organizacija i stručnjaka za bezbjednost moguće je spriječiti slične napade.

 

PREPORUKE

Nedavno otkriće operacije PCPcat jasno je ukazalo na kritičnu potrebu da organizacije i pojedinci preduzmu hitne mjere radi zaštite od ove napredne kampanje. Preporuke koje slijede mogu pomoći u jačanju bezbjednosnog položaja i smanjenju rizika od sličnih prijetnji:

1. Prvi korak ka ublažavanju rizika povezanih sa operacijom PCPcat jeste primjena ispravki na sva implementiranja Next.js i React razvojnih okruženja, kao i na infrastrukturu u oblaku na AWS, Azure i GCP platformama, zajedno sa razvojnim okruženjima koja mogu biti ranjiva. Ove mjere treba sprovesti što je prije moguće, idealno u roku od nekoliko sati.
2. Organizacije moraju preduzeti korake da blokiraju infrastrukturu komande i kontrole (C2) povezanu sa operacijom PCPcat. Ovo se može postići implementacijom segmentacije mreže, zaštitnih zidova ili drugih bezbjednosnih kontrola koje sprječavaju komunikaciju između internih sistema i poznatih zlonamjernih IP adresa.
3. Sve razvojne podatke za prijavu, SSH ključeve i .env datoteke treba odmah rotirati kako bi se smanjio rizik od ugroženog pristupa. Ovo uključuje rotiranje lozinki za sve korisnike, kao i ažuriranje API ključeva i tokena koje koriste aplikacije.
4. Dugoročno gledano, implementacija arhitekture nultog povjerenja je neophodna za sprječavanje bočnog kretanja unutar mreže organizacije. Ovo podrazumijeva provjeru identiteta i pouzdanosti svakog korisnika, uređaja ili procesa koji pokušava da pristupi resursima na mreži.
5. Organizacije moraju razviti sveobuhvatne planove odgovora na sajber prijetnju koji uključuju procedure za otkrivanje, reagovanje na i obuzdavanje bezbjednosnih incidenata povezanih sa operacijom PCPcat.
6. Implementacija mogućnosti kontinuiranog praćenja je ključna za identifikovanje potencijalnih ranjivosti ili sumnjivih aktivnosti unutar infrastrukture organizacije. Ovo se može postići upotrebom alata za evidentiranje, sistema za detekciju upada (eng. intrusion detection systems – IDS) i drugih bezbjednosnih kontrola.
7. Bezbjedna razvojna okruženja su ključna u sprječavanju napada u lancu snabdijevanja poput operacije PCPcat. Organizacije treba da obezbijede da se svi razvojni podaci za prijavu, SSH ključevi i .env datoteke bezbjedno čuvaju i redovno rotiraju.
8. Implementacija jakih mehanizama provjere identiteta kao što je autentifikaciju u više koraka (eng. multi-factor authentication – MFA) može značajno smanjiti rizik od neovlaštenog pristupa infrastrukturi organizacije.
9. Redovna ažuriranja zavisnosti koje koriste aplikacije mogu pomoći u sprječavanju iskorištavanja ranjivosti od strane zlonamjernog aktera poput onih koji stoje iza operacije PCPcat.
10. Implementacija segmentacije mreže podrazumijeva podjelu mreže na manje, izolovane segmente kojima je moguće pristupiti samo preko kontrolisanih okruženja. Ovo otežava zlonamjernim akterima bočno kretanje unutar mreže i pristup osjetljivim resursima.
11. Korištenje bezbjednih komunikacionih protokola kao što su HTTPS ili SFTP može pomoći u sprječavanju krađe podataka šifrovanjem komunikacije između sistema.
12. Organizacije treba da prate javne krajnje tačke koje koriste njihove aplikacije kako bi otkrile potencijalne ranjivosti ili sumnjive aktivnosti povezane sa operacijom PCPcat.
13. Korištenje alata za analizu ponašanja kao što su softveri za detekciju i odgovor na prijetnje (eng. endpoint detection and response – EDR) ili sistemi za upravljanje bezbjednim informacijama i događajima (eng. security information and event management – SIEM) može pomoći u identifikaciji potencijalnih ranjivosti ili sumnjivih aktivnosti povezanih sa operacijom PCPcat.
14. Korištenje obavještajnih informacija o prijetnjama iz renomiranih izvora može organizacijama pružiti vrijedne uvide u potencijalne prijetnje povezane sa operacijom PCPcat i trebalo bi da bude integrisano u planove za odgovor na sajber prijetnje.

Iznad navedene preporuke predstavljaju ključni element zaštite od rizika povezanih sa operacijom PCPcat i sličnim napadima. Njihova primjena može značajno smanjiti izloženost korisnika i organizacija, čime se jača ukupni bezbjednosni položaj i umanjuju potencijalne posljedice budućih prijetnji.