Una masiva campaña automatizada de robo de credenciales está atacando activamente aplicaciones web en todo el mundo. Investigadores de ciberseguridad de Cisco Talos han descubierto una operación llevada a cabo por un grupo de hackers identificado como UAT-10608, que ya ha comprometido más de 700 servidores. Los atacantes están explotando una grave falla de seguridad conocida como React2Shell para acceder y robar datos altamente sensibles.

Una masiva campaña automatizada de robo de credenciales está atacando activamente aplicaciones web en todo el mundo. Investigadores de ciberseguridad de Cisco Talos han descubierto una operación llevada a cabo por un grupo de hackers identificado como UAT-10608, que ya ha comprometido más de 700 servidores.

Los atacantes están explotando una falla de seguridad crítica conocida como React2Shell para acceder y robar datos altamente sensibles. Los hackers están apuntando específicamente a aplicaciones Next.js vulnerables a CVE-2025-55182, ampliamente conocida como React2Shell.

Se trata de una grave vulnerabilidad de ejecución remota de código en los React Server Components. Permite a los atacantes enviar una solicitud web especialmente diseñada a un servidor vulnerable.

Como el servidor no verifica adecuadamente los datos entrantes, ejecuta los comandos ocultos del atacante. Lo peor de todo es que este ataque no requiere contraseñas ni interacción del usuario.

Más de 700 hosts de Next.js explotados

El grupo UAT-10608 utiliza herramientas automatizadas para escanear internet en busca de servidores Next.js vulnerables. Una vez que encuentran un objetivo, lanzan el exploit React2Shell para obtener acceso inicial. El exploit descarga entonces un script malicioso en el servidor.

Este script se ejecuta silenciosamente en segundo plano, actuando como una aspiradora digital. Busca en los archivos del servidor, configuraciones en la nube y memoria del sistema para recolectar credenciales valiosas.

El script opera en múltiples fases, extrayendo desde tokens en la nube hasta contraseñas de bases de datos, y luego envía los datos robados al servidor de comando y control de los hackers.

Para gestionar la enorme cantidad de información robada, los atacantes utilizan un panel web personalizado llamado “NEXUS Listener”. Investigadores de Cisco Talos descubrieron que, en solo 24 horas, el panel registró 766 hosts comprometidos.

El panel reveló la impactante escala del robo:

• Más del 90% de los hosts tuvieron sus credenciales de bases de datos robadas.
• Casi el 80% perdió sus claves SSH privadas, utilizadas para acceder a servidores de forma segura.
• Los hackers también robaron credenciales de AWS en la nube, claves de pago de Stripe en vivo y tokens de acceso a GitHub.

Las consecuencias de este ataque son devastadoras. Con las contraseñas de bases de datos robadas, los hackers pueden acceder a información privada de usuarios y registros financieros.

Las claves SSH expuestas les permiten moverse libremente entre diferentes servidores dentro de la red de una empresa.

Además, las credenciales de la nube robadas dan a los atacantes el poder de tomar el control de entornos completos en la nube, mientras que los tokens de GitHub comprometidos podrían usarse para insertar código malicioso en actualizaciones legítimas de software.

Las empresas que utilizan Next.js deben tomar medidas inmediatas para protegerse. Las organizaciones deben actualizar urgentemente sus aplicaciones web para parchear la vulnerabilidad React2Shell.

Además, cualquier empresa que pueda haber sido blanco de este ataque debe cambiar de inmediato todas sus contraseñas, claves API y tokens de seguridad.

Los expertos también recomiendan restringir el acceso a los servicios de metadatos en la nube y monitorear cuidadosamente los servidores en busca de procesos inusuales en segundo plano.