La vulnerabilidad React2Shell (CVE-2025-55182) sigue enfrentando una campaña de explotación implacable, con actores de amenazas lanzando más de 8,1 millones de sesiones de ataque desde su divulgación inicial. Según los datos de GreyNoise Observation Grid, los volúmenes diarios de ataques se han estabilizado en 300.000–400.000 sesiones desde que alcanzaron un pico superior a 430.000 a finales de diciembre, lo que indica una explotación sostenida y coordinada. 

La vulnerabilidad React2Shell (CVE-2025-55182) sigue enfrentando una campaña de explotación implacable, con actores de amenazas lanzando más de 8,1 millones de sesiones de ataque desde su divulgación inicial.

Según los datos de GreyNoise Observation Grid, los volúmenes diarios de ataques se han estabilizado en 300.000–400.000 sesiones desde que alcanzaron un pico superior a 430.000 a finales de diciembre, lo que indica una explotación sostenida y coordinada.

Escala de la campaña de explotación

La infraestructura de la campaña revela una operación sofisticada y distribuida. Los investigadores han identificado 8.163 direcciones IP únicas que abarcan 1.071 sistemas autónomos (ASNs) en 101 países.

Esta dispersión geográfica subraya el atractivo de la vulnerabilidad en diversos ecosistemas de actores de amenazas, desde botnets explotadores hasta grupos de amenazas persistentes avanzadas. Los proveedores de nube como AWS y otros dominan la infraestructura de ataque.

Amazon Web Services por sí solo representa más de un tercio del tráfico de explotación observado, con los 15 principales ASNs comprendiendo aproximadamente el 60% de todas las IPs de origen.

Esto refleja la preferencia de los atacantes por aprovechar infraestructuras en la nube legítimas para enmascarar actividades maliciosas. Los atacantes han creado más de 70.000 payloads únicos, demostrando una experimentación y refinamiento continuos.

El análisis de huellas de red revela 700 hashes JA4H distintos (huellas de clientes HTTP) y 340 hashes JA4T únicos (huellas de pila TCP), lo que indica una variedad de herramientas y mecanismos de entrega.

Diversidad de payloads y patrones de ataque

La explotación sigue un enfoque predecible en dos etapas. Las sondas iniciales de reconocimiento validan la ejecución de comandos mediante operaciones aritméticas simples de PowerShell antes de proceder a entregar un payload codificado.

Los exploits de segunda etapa emplean técnicas de bypass de AMSI, permitiendo a los atacantes ejecutar scripts maliciosos adicionales mientras evaden la detección de antivirus.

Las organizaciones siguen expuestas si no están parcheadas. Casi el 50% de las IPs de origen observadas se detectaron por primera vez después de julio de 2025, lo que indica una asignación reciente de infraestructura y una rotación rápida de IPs.

Las listas estáticas de bloqueo de IPs son insuficientes para abordar la escala y velocidad de esta campaña. Los defensores deberían implementar bloqueos dinámicos mediante los feeds de inteligencia de amenazas continuamente actualizados de GreyNoise.

El monitoreo de endpoints debe centrarse en detectar patrones de ejecución de PowerShell, comandos codificados y modificaciones de AMSI mediante reflexión.

Las organizaciones que gestionan Componentes de Servidor de React expuestos deben tratar esto como una amenaza activa y continua que requiere parcheo inmediato y protección a nivel de red.