React2Shell explora o Next.js para uma pilhagem massiva de credenciais que compromete 766 hosts em 24 horas

Uma operação automatizada de grande alcance está aproveitando uma vulnerabilidade em aplicações Next.js para arrancar um enorme roubo de credenciais que, segundo os pesquisadores, já comprometeu centenas de servidores na nuvem. O vetor explorado é conhecido como React2Shell (CVE-2025-55182) e, uma vez que o atacante obtém acesso, desenvolve scripts que mostrem e exfiltram segredos, chaves e credenciais de forma sistemática.

Os detalhes técnicos e o seguimento da campanha foram documentados pelos analistas da Cisco Talos, que atribuem a operação a um cluster de ameaças identificado como UAT-10608. Na sua pesquisa, os especialistas puderam acessar uma instância exposta do componente de controle chamado NEXUS Listener, o que lhes permitiu observar em direto a informação que os intrusos estavam coletando e como a apresentavam: uma interface que agrupa e facilita a busca, a filtragem e a estatística dos segredos sutraídos. O relatório de Talos pode ser consultado para alargar os resultados e ver capturas do painel: Cisco Talos — Inside a large-scale automated credential-harvesting operation.

O modus operandi descrito pelos pesquisadores arranca com explorações automatizadas em busca de instâncias Next.js vulneráveis. Depois de explorar o React2Shell, o atacante deixa cair um script em uma pasta temporária que executa uma rotina em várias fases para extrair segredos e arquivos sensíveis. Esse material é embalado em fragmentos e enviado por HTTP para o servidor de comando e controle - o NEXUS Listener - tipicamente através do porto 8080, onde fica indexado e disponível para sua análise pelos operadores maliciosos.

A magnitude do incidente é chamada: Talos informou que a infraestrutura de exploração foi capaz de comprometer pelo menos 766 hosts num período de 24 horas. Entre os elementos que os atacantes coletaram contam-se variáveis de ambiente e segredos de aplicativos (API keys, credenciais de bases de dados, tokens do GitHub/GitLab), chaves SSH privadas, credenciais de nuvem (metadatos e credenciais IAM da AWS/GCP/Azure), tokens de Kubernetes, informações de contêineres e Docker, históriais de comandos e dados de processos em execução.

O risco não se limita à perda pontual de segredos. Com estes elementos um atacante pode fazer o controle de contas cloud, acessar bases de dados e sistemas de pagamento, mover-se lateralmente usando chaves SSH ou lançar ataques à cadeia de fornecimento aproveitando acessos persistentes. Existe também um custo regulatório porque a exfiltração pode incluir dados pessoais sujeitos a regulamentos de privacidade.

Diante deste tipo de campanhas, as recomendações dos equipamentos de resposta combinam medidas imediatas e estratégicas. É urgente aplicar os adesivos que fechem React2Shell e, no mínimo, suspeita de exposição, rodar todas as credenciais afetadas. A Cisco Talos insiste na necessidade de auditar possíveis exposições de dados no servidor e substituir chaves SSH reutilizadas. Para a defesa a nível cloud, é recomendável forçar o uso de IMDSv2 em instâncias EC2 da AWS para dificultar a obtenção de metadados de instância por processos comprometidos; a documentação oficial da AWS explica como configurar e forçar IMDSv2: AWS — Configuring the Instance Metadata Service.

Outras medidas preventivas incluem a adoção de digitalização de segredos em repositórios e pipelines (por exemplo, soluções de secret scanning que oferecem plataformas como o GitHub), a rotação periódica e automatizada de credenciais, a aplicação estrita do princípio de menor privilégio em papéis e permissões de contêineres e contas cloud, e a implementação de protecções de aplicação como WAF ou RASP para reduzir a probabilidade de exploração de falhas em aplicativos web. O GitHub documenta suas capacidades de detecção de segredos no código e na história do repositório: GitHub — Secret scanning, e o guia do OWASP sobre gestão de segredos oferece boas práticas sobre armazenamento e rotatividade: OWASP — Secrets Management Cheat Sheet.

No plano operacional, convém também endurecer a detecção e a telemetria: monitorar conexões HTTP salientes para portos não habituais (como 8080) de servidores de aplicações, revisar processos e arquivos em /tmp em busca de scripts maliciosos, auditar histórias de comandos e arquivos de configuração de contêineres, e estabelecer alertas de uso anormais de chaves e tokens. Limitar o tráfego de saída a destinos conhecidos e forçar o egress filtering reduz a capacidade de um intruso de exfiltrar dados para infra-estruturas C2.

Essa campanha volta a colocar sobre a mesa duas ideias simples, mas críticas: primeiro, que as vulnerabilidades na camada de aplicação ainda são uma porta de entrada extremamente lucrativa para os atacantes; e segundo, que a proteção de segredos e credenciais deve ser tanto preventiva como reativa. Aplicar adesivos rapidamente, auditar a exposição de informação sensível e contar com processos automáticos para rotar e detectar segredos filtrados são passos mínimos que hoje podem marcar a diferença entre um incidente conteúdo e uma brecha com consequências de longo alcance.

Para ler a análise técnica e os indicadores compartilhados pelos pesquisadores, consulte o relatório da Cisco Talos: Inside a large-scale automated credential-harvesting operation. Se você precisa de orientação prática para auditar seu ambiente ou priorizar mitigações, os guias da AWS e OWASP conectados acima são bons pontos de partida.