SAP-NetWeaver-Systeme können attraktive Ziele sein, da sie geschäftskritische Anwendungen und Daten unterstützen. Die Quelle definiert mehrere Suchen, die sich auf die Ausnutzung von Visual Composer und damit verbundene Aktivitäten nach der Ausnutzung konzentrieren.
Die Abdeckung umfasst CVE-2025-31324 und die zugehörige Kette mit CVE-2025-42999.
HTTP- und Dateinamenindikatoren
Die erste Abfrage sucht nach Zugriffen auf den Metadata Uploader und mehreren JSP-Dateinamen, die mit dem Szenario des Threat Huntings in Verbindung stehen:
full_log:("/developmentserver/metadatauploader" or "helper.jsp" or "cache.jsp" or "shell.jsp" or "usage.jsp" or "user.jsp" or "readme.jsp")Die Quelle verzeichnete 26 Ergebnisse in den vorangegangenen 30 Tagen.
Dateiintegritätsüberwachung
Die zweite Abfrage sucht nach hinzugefügten oder geänderten JSP-Dateien unter SAP-Java-Anwendungspfaden:
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*/j2ee/cluster/apps/*.jsp or */irj/*.jsp or *helper.jsp or *cache.jsp or *shell.jsp or *usage.jsp or *user.jsp or *readme.jsp)
Die Quelle verzeichnete null Treffer für diese Dateisuche.
Prozessaktivität von unter Windows gehostetem SAP
Für unter Windows gehostete SAP-Systeme überwacht die Quelle, ob disp+work.exe oder java.exe Shells oder Download-Dienstprogramme starten:
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\disp+work.exe or *\java.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\certutil.exe or *\curl.exe)
Diese Abfrage lieferte 941 Ergebnisse in den vorangegangenen 30 Tagen.
Die unterschiedlichen Volumina verstehen
Die drei Suchen haben sehr unterschiedliche Trefferzahlen. Das ist wichtig.
Die produktspezifischen HTTP-Indikatoren sind relativ gezielt. Die Dateiintegritätssuche ist noch enger gefasst. Das Windows-Prozessverhalten ist breiter gefasst und kann legitime Java- oder SAP-Vorgänge erfassen.
Das bedeutet, dass die Prozessabfrage mit Host- und Befehlszeilenkontext abgestimmt werden sollte, bevor sie als Alarm mit hohem Schweregrad behandelt wird.
Untersuchungsablauf
Stellen Sie bei einem HTTP-Treffer fest, ob:
die Anfrage ein SAP-NetWeaver-System erreicht hat;
die Quell-IP erwartet ist;
eine JSP-Datei erstellt oder geändert wurde;
Java- oder SAP-Prozesse eine Shell gestartet haben;
anschließend ausgehende Downloads erfolgten.
Prüfen Sie bei einem Prozesstreffer den genauen untergeordneten Prozess und die Befehlszeile. Wiederholte genehmigte Automatisierung kann als Baseline erfasst werden, während seltene Shell-Ausführung genauer geprüft werden sollte.
Korrelation
Eine besonders aussagekräftige Abfolge wäre:
Zugriff auf Metadata Uploader → neue JSP-Datei → java.exe → powershell.exe
Die Quellabfragen sind darauf ausgelegt, diese getrennten Sichtbarkeitspunkte bereitzustellen.
Betrieblicher Nutzen
Anstatt sich auf einen einzelnen Indikator zu verlassen, kombiniert dieser Ansatz Weblogs, Dateiintegritätsüberwachung und Endpunkt-Prozesstelemetrie.
Bei kritischen SAP-Systemen kann diese mehrschichtige Sicht helfen, harmloses Anwendungsverhalten von Anzeichen einer erfolgreichen Ausnutzung zu unterscheiden.
