Una campaña reciente ha aprovechado la herramienta legítima Nezha para comprometer servidores web a través de vulnerabilidades en aplicaciones expuestas.
Detalles de la campaña
Los investigadores detectaron esta actividad iniciada en agosto de 2025, marcando la primera vez que se reporta públicamente el uso de Nezha como parte de una cadena de ataque contra servidores web.
Los atacantes lograron acceso inicial explotando paneles phpMyAdmin expuestos a Internet. Aprovechando credenciales débiles y configuración por defecto, modificaron el idioma del panel y utilizaron comandos SQL para activar el general query log de MariaDB, redirigiéndolo a un archivo .php.
Esta acción permitió ocultar una web shell en el sistema. Posteriormente, los atacantes administraron el sistema infectado con AntSword, descargando e instalando el agente de Nezha («live.exe»), lo que facilitó el control remoto del servidor.
Acciones posteriores al acceso
Usando PowerShell, deshabilitaron Windows Defender y desplegaron Ghost RAT bajo el nombre SQLlite, permitiendo persistencia y exfiltración de datos.
Afectación y ubicación geográfica
Más de 100 sistemas fueron comprometidos en esta campaña. La afectación fue especialmente notable en Asia Oriental, aunque también se registraron casos en Europa y América.
Riesgos asociados
El uso de herramientas legítimas como Nezha, junto con malware como Ghost RAT, complica la detección y aumenta el riesgo de persistencia y control total sobre los servidores afectados.
Recomendaciones de mitigación
- Parchear todas las aplicaciones expuestas.
- Exigir autenticación incluso en entornos de pruebas.
- Emplear monitoreo proactivo para detectar web shells y procesos sospechosos.
- Límite el acceso administrativo.
- Auditar logs e implementar segmentación de red para minimizar el impacto de posibles compromisos.