I sistemi SAP NetWeaver possono essere obiettivi attraenti per via delle applicazioni e dei dati critici per l'attività che supportano. La fonte definisce diverse ricerche incentrate sullo sfruttamento di Visual Composer e sulla relativa attività di post-sfruttamento.
La copertura include CVE-2025-31324 e la catena correlata CVE-2025-42999.
Indicatori HTTP e di nomi di file
La prima query cerca accessi al metadata uploader e diversi nomi di file JSP associati allo scenario di threat hunting:
full_log:("/developmentserver/metadatauploader" or "helper.jsp" or "cache.jsp" or "shell.jsp" or "usage.jsp" or "user.jsp" or "readme.jsp")La fonte ha registrato 26 risultati nei 30 giorni precedenti.
Monitoraggio dell'integrità dei file
La seconda query cerca file JSP aggiunti o modificati nei percorsi delle applicazioni Java SAP:
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*/j2ee/cluster/apps/*.jsp or */irj/*.jsp or *helper.jsp or *cache.jsp or *shell.jsp or *usage.jsp or *user.jsp or *readme.jsp)
La fonte ha registrato zero corrispondenze per questa ricerca sui file.
Attività dei processi SAP ospitati su Windows
Per i sistemi SAP ospitati su Windows, la fonte monitora disp+work.exe o java.exe che avviano shell o utility di download:
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\disp+work.exe or *\java.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\certutil.exe or *\curl.exe)
Questa query ha prodotto 941 risultati nei 30 giorni precedenti.
Comprendere i diversi volumi
Le tre ricerche hanno numeri di risultati molto diversi. Questo è importante.
Gli indicatori HTTP specifici del prodotto sono relativamente mirati. La ricerca sull'integrità dei file è ancora più ristretta. Il comportamento dei processi Windows è più ampio e può catturare operazioni Java o SAP legittime.
Ciò significa che la query sui processi va rifinita con il contesto dell’host e della riga di comando prima di trattarla come alert di alta gravità.
Flusso di indagine
Per una corrispondenza HTTP, stabilisca se:
la richiesta ha raggiunto un sistema SAP NetWeaver;
l'IP di origine è prevista;
un file JSP è stato creato o modificato;
processi Java o SAP hanno avviato una shell;
sono avvenuti successivamente download in uscita.
Per una corrispondenza di processo, esamini l'esatto processo figlio e la riga di comando. L'automazione approvata ripetuta può essere inserita nella baseline, mentre l'esecuzione rara di shell richiede maggiore attenzione.
Correlazione
Una sequenza particolarmente forte sarebbe:
accesso al metadata uploader → nuovo file JSP → java.exe → powershell.exe
Le query della fonte sono progettate per fornire questi distinti punti di visibilità.
Valore operativo
Anziché un singolo indicatore, questo approccio combina log web, monitoraggio dell'integrità dei file e telemetria dei processi degli endpoint.
Per i sistemi SAP critici, tale visione a più livelli può aiutare a distinguere il comportamento applicativo benigno dai segnali di uno sfruttamento riuscito.
