Los sistemas SAP NetWeaver pueden ser objetivos atractivos por las aplicaciones y los datos críticos para el negocio que soportan. La fuente define varias búsquedas centradas en la explotación de Visual Composer y la actividad de postexplotación relacionada.
La cobertura incluye CVE-2025-31324 y la cadena relacionada CVE-2025-42999.
Indicadores HTTP y de nombres de archivo
La primera consulta busca accesos al metadata uploader y varios nombres de archivo JSP asociados con el escenario de búsqueda de amenazas:
full_log:("/developmentserver/metadatauploader" or "helper.jsp" or "cache.jsp" or "shell.jsp" or "usage.jsp" or "user.jsp" or "readme.jsp")La fuente registró 26 resultados durante los 30 días anteriores.
Monitorización de la integridad de archivos
La segunda consulta busca archivos JSP añadidos o modificados en rutas de aplicaciones Java de SAP:
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*/j2ee/cluster/apps/*.jsp or */irj/*.jsp or *helper.jsp or *cache.jsp or *shell.jsp or *usage.jsp or *user.jsp or *readme.jsp)
La fuente registró cero coincidencias en esta búsqueda de archivos.
Actividad de procesos de SAP alojado en Windows
Para los sistemas SAP alojados en Windows, la fuente supervisa si disp+work.exe o java.exe lanzan shells o utilidades de descarga:
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\disp+work.exe or *\java.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\certutil.exe or *\curl.exe)
Esta consulta produjo 941 resultados durante los 30 días anteriores.
Comprender los diferentes volúmenes
Las tres búsquedas tienen un número de resultados muy diferente. Esto es importante.
Los indicadores HTTP específicos del producto son relativamente específicos. La búsqueda de integridad de archivos es aún más acotada. El comportamiento de procesos de Windows es más amplio y puede capturar operaciones legítimas de Java o SAP.
Eso significa que la consulta de procesos debe ajustarse con el contexto del equipo y de la línea de comandos antes de tratarse como alerta de alta gravedad.
Flujo de investigación
Ante una coincidencia HTTP, determine si:
la solicitud llegó a un sistema SAP NetWeaver;
la IP de origen es esperada;
se creó o modificó un archivo JSP;
procesos de Java o SAP lanzaron un shell;
se produjeron descargas salientes posteriormente.
Ante una coincidencia de proceso, revise el proceso hijo exacto y la línea de comandos. La automatización aprobada repetida puede incluirse en la línea base, mientras que la ejecución poco frecuente de shells debe examinarse con más detenimiento.
Correlación
Una secuencia especialmente sólida sería:
acceso al metadata uploader → nuevo archivo JSP → java.exe → powershell.exe
Las consultas de la fuente están diseñadas para proporcionar estos puntos de visibilidad independientes.
Valor operativo
En vez de depender de un indicador, este enfoque combina registros web, monitorización de la integridad de archivos y telemetría de procesos de dispositivos.
En sistemas SAP críticos, esa vista por capas puede ayudar a distinguir el comportamiento benigno de la aplicación de las señales de una explotación exitosa.
