SAP NetWeaver-systemen kunnen aantrekkelijke doelwitten zijn vanwege de bedrijfskritieke applicaties en gegevens die zij ondersteunen. De bron definieert meerdere zoekacties gericht op exploitatie van Visual Composer en gerelateerde post-exploitatieactiviteit.
De dekking omvat CVE-2025-31324 en de gerelateerde CVE-2025-42999-keten.
HTTP- en bestandsnaamindicatoren
De eerste zoekopdracht zoekt naar toegang tot de metadata-uploader en verschillende JSP-bestandsnamen die verband houden met het zoekscenario:
full_log:("/developmentserver/metadatauploader" or "helper.jsp" or "cache.jsp" or "shell.jsp" or "usage.jsp" or "user.jsp" or "readme.jsp")De bron registreerde 26 resultaten in de afgelopen 30 dagen.
Bestandsintegriteitsmonitoring
De tweede zoekopdracht zoekt naar toegevoegde of gewijzigde JSP-bestanden onder SAP Java-applicatiepaden:
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*/j2ee/cluster/apps/*.jsp or */irj/*.jsp or *helper.jsp or *cache.jsp or *shell.jsp or *usage.jsp or *user.jsp or *readme.jsp)
De bron registreerde nul overeenkomsten voor deze bestandshunt.
Procesactiviteit van op Windows gehost SAP
Voor SAP-systemen die onder Windows worden gehost, bewaakt de bron of disp+work.exe of java.exe shells of downloadhulpprogramma’s start:
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\disp+work.exe or *\java.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\certutil.exe or *\curl.exe)
Deze zoekopdracht leverde 941 resultaten op in de afgelopen 30 dagen.
De verschillende volumes begrijpen
De drie zoekacties hebben sterk uiteenlopende aantallen resultaten. Dit is belangrijk.
De productspecifieke HTTP-indicatoren zijn relatief gericht. De bestandsintegriteitszoekactie is nog smaller. Het Windows-procesgedrag is breder en kan legitieme Java- of SAP-bewerkingen omvatten.
Dat betekent dat de procesquery moet worden afgestemd met host- en opdrachtregelcontext voordat deze als waarschuwing met hoge ernst wordt behandeld.
Onderzoeksworkflow
Bepaal bij een HTTP-treffer of:
het verzoek een SAP NetWeaver-systeem heeft bereikt;
het bron-IP verwacht is;
een JSP-bestand is aangemaakt of gewijzigd;
Java- of SAP-processen een shell hebben gestart;
daarna uitgaande downloads hebben plaatsgevonden.
Bekijk bij een procesmatch het exacte onderliggende proces en de opdrachtregel. Herhaalde goedgekeurde automatisering kan worden vastgelegd in een baseline, terwijl zeldzame shelluitvoering meer aandacht verdient.
Correlatie
Een bijzonder sterke volgorde zou zijn:
toegang tot metadata-uploader → nieuw JSP-bestand → java.exe → powershell.exe
De bronqueries zijn ontworpen om deze afzonderlijke zichtpunten te bieden.
Operationele waarde
In plaats van op één indicator te vertrouwen, combineert deze aanpak weblogs, bestandsintegriteitsbewaking en procestelemetrie van endpoints.
Voor kritieke SAP-systemen kan dat gelaagde beeld helpen om onschuldig applicatiegedrag te onderscheiden van tekenen van succesvolle exploitatie.
