Explotación Activa de Vulnerabilidad RCE en SAP NetWeaver por Hackers Chinos
Un grupo de amenazas vinculado a China está explotando activamente una vulnerabilidad crítica de ejecución remota de código (RCE) en SAP NetWeaver, identificada como CVE-2025-31324. Este fallo permite a los atacantes cargar backdoors como “Supershell” en sistemas empresariales globales, comprometiendo la seguridad de organizaciones que dependen de esta plataforma.
Detalles Técnicos de la Vulnerabilidad
CVE-2025-31324 es una vulnerabilidad crítica en SAP NetWeaver, una plataforma clave para aplicaciones empresariales. La falla reside en un componente de comunicación no autenticado que permite a un atacante remoto ejecutar código arbitrario sin necesidad de credenciales válidas. Los vectores de ataque incluyen:
- Inyección de comandos a través de peticiones HTTP maliciosas.
- Manipulación de parámetros en servicios expuestos.
- Explotación de configuraciones predeterminadas inseguras.
Tácticas del Grupo de Amenazas
El grupo de hackers, asociado a intereses chinos, ha utilizado esta vulnerabilidad para:
- Desplegar el backdoor “Supershell”, que permite control persistente sobre los sistemas comprometidos.
- Escalar privilegios dentro de las redes corporativas.
- Robar información sensible, incluyendo datos financieros y propiedad intelectual.
- Moverse lateralmente entre sistemas conectados.
Implicaciones para la Seguridad Empresarial
Esta campaña representa un riesgo significativo para organizaciones que utilizan SAP NetWeaver sin los parches adecuados. Las consecuencias incluyen:
- Exposición de datos sensibles y sistemas críticos.
- Potencial interrupción de operaciones empresariales.
- Riesgo de cumplimiento regulatorio por violaciones de datos.
- Pérdida financiera debido a robos o extorsión.
Recomendaciones de Mitigación
Para protegerse contra esta amenaza, se recomienda:
- Aplicar inmediatamente los parches proporcionados por SAP para CVE-2025-31324.
- Restringir el acceso a interfaces administrativas de SAP NetWeaver.
- Implementar segmentación de red para limitar el movimiento lateral.
- Monitorear actividades sospechosas en sistemas SAP.
- Actualizar todas las reglas de detección en herramientas SIEM y EDR.
Este incidente subraya la importancia de mantener sistemas críticos actualizados y monitoreados contra amenazas avanzadas persistentes. Las organizaciones que utilizan SAP deben priorizar la aplicación de este parche y revisar sus posturas de seguridad.
