Исследователи из Datadog обнаружили схему, где веб-сервер захватывают не чтобы зашифровать, а чтобы превратить в умный прокси. Проникают через уязвимость React2Shell (CVE-2025-55182), после чего загружают скрипты, которые парсят директорию
/etc/nginx/ (или пути панели Baota) и внедряют в конфиги вредоносные блоки location.В конфиг добавляются локейшены типа
/game/, /help/, /news/, внутри которых стоит proxy_pass на сервер хацкеров. Пользователь заходит на легитимный, доверенный домен, видит зеленый замок SSL, но контент ему отдает сервер хацкеров. Чаще всего это реклама казино или скам, который идеально индексируется поисковиками за счет репутации вашего домена.Скрипт-инжектор (
4zdh.sh) написан профессионально... перед тем как применить изменения, он запускает nginx -t. Если новый конфиг не проходит валидацию, малварь не перезагружает Nginx, чтобы не уронить прод и не привлечь внимание админа падением сервиса. Более того, если на сервере выпилены curl и wget, скрипт умеет качать пейлоады через нативные возможности Bash (/dev/tcp) 😎Так что если ваши маркетологи жалуются, что сайт начал ранжироваться по запросам "слоты онлайн крутить" 🎰, не спешите винить контент-манагера. Сделайте
grep -r "proxy_pass" /etc/nginx и посмотрите, куда на самом деле смотрит ваш реверс-прокси.Типичный 🥸 Сисадмин