Les systèmes SAP NetWeaver peuvent être des cibles attrayantes en raison des applications et des données critiques pour l'entreprise qu'ils prennent en charge. La source définit plusieurs recherches axées sur l'exploitation de Visual Composer et l'activité de post-exploitation associée.
La couverture inclut CVE-2025-31324 et la chaîne associée CVE-2025-42999.
Indicateurs HTTP et de noms de fichiers
La première requête recherche les accès au metadata uploader et plusieurs noms de fichiers JSP associés au scénario de chasse :
full_log:("/developmentserver/metadatauploader" or "helper.jsp" or "cache.jsp" or "shell.jsp" or "usage.jsp" or "user.jsp" or "readme.jsp")La source a enregistré 26 résultats au cours des 30 derniers jours.
Surveillance de l'intégrité des fichiers
La deuxième requête recherche les fichiers JSP ajoutés ou modifiés dans les chemins d'application Java SAP :
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*/j2ee/cluster/apps/*.jsp or */irj/*.jsp or *helper.jsp or *cache.jsp or *shell.jsp or *usage.jsp or *user.jsp or *readme.jsp)
La source a enregistré zéro correspondance pour cette recherche de fichiers.
Activité des processus SAP hébergés sous Windows
Pour les systèmes SAP hébergés sous Windows, la source surveille disp+work.exe ou java.exe lançant des shells ou des utilitaires de téléchargement :
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\disp+work.exe or *\java.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\certutil.exe or *\curl.exe)
Cette requête a produit 941 résultats au cours des 30 derniers jours.
Comprendre les différents volumes
Les trois recherches ont des nombres de résultats très différents. C'est important.
Les indicateurs HTTP spécifiques au produit sont relativement ciblés. La recherche sur l'intégrité des fichiers est encore plus étroite. Le comportement des processus Windows est plus large et peut capturer des opérations Java ou SAP légitimes.
Cela signifie que la requête de processus doit être ajustée avec le contexte de l'hôte et de la ligne de commande avant d'être traitée comme une alerte de gravité élevée.
Processus d'investigation
Pour une correspondance HTTP, déterminez si :
la requête a atteint un système SAP NetWeaver ;
l'IP source est attendue ;
un fichier JSP a été créé ou modifié ;
des processus Java ou SAP ont lancé un shell ;
des téléchargements sortants ont eu lieu ensuite.
Pour une correspondance de processus, examinez le processus enfant exact et la ligne de commande. L'automatisation approuvée répétée peut être intégrée à la base de référence, tandis que l'exécution rare de shells doit être examinée de plus près.
Corrélation
Une séquence particulièrement forte serait :
accès au metadata uploader → nouveau fichier JSP → java.exe → powershell.exe
Les requêtes sources sont conçues pour fournir ces points de visibilité distincts.
Valeur opérationnelle
Plutôt que de s'appuyer sur un seul indicateur, cette approche combine les journaux web, la surveillance de l'intégrité des fichiers et la télémétrie des processus des endpoints.
Pour les systèmes SAP critiques, cette vue en couches peut aider à distinguer un comportement applicatif bénin des signes d'une exploitation réussie.
