Sistemele SAP NetWeaver pot fi ținte atractive datorită aplicațiilor și datelor critice pentru business pe care le susțin. Sursa definește mai multe căutări axate pe exploatarea Visual Composer și pe activitatea de post-exploatare aferentă.
Acoperirea include CVE-2025-31324 și lanțul aferent CVE-2025-42999.
Indicatori HTTP și de nume de fișier
Prima interogare caută accesări ale încărcătorului de metadate și mai multe nume de fișiere JSP asociate scenariului de căutare:
full_log:("/developmentserver/metadatauploader" or "helper.jsp" or "cache.jsp" or "shell.jsp" or "usage.jsp" or "user.jsp" or "readme.jsp")Sursa a înregistrat 26 de rezultate în ultimele 30 de zile.
Monitorizarea integrității fișierelor
A doua interogare caută fișiere JSP adăugate sau modificate sub căile aplicațiilor SAP Java:
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*/j2ee/cluster/apps/*.jsp or */irj/*.jsp or *helper.jsp or *cache.jsp or *shell.jsp or *usage.jsp or *user.jsp or *readme.jsp)
Sursa a înregistrat zero potriviri pentru această căutare de fișiere.
Activitatea proceselor SAP găzduite pe Windows
Pentru sistemele SAP găzduite pe Windows, sursa monitorizează disp+work.exe sau java.exe care lansează shell-uri sau utilitare de descărcare:
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\disp+work.exe or *\java.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\certutil.exe or *\curl.exe)
Această interogare a produs 941 de rezultate în ultimele 30 de zile.
Înțelegerea volumelor diferite
Cele trei căutări au numărări de rezultate foarte diferite. Acest lucru este important.
Indicatorii HTTP specifici produsului sunt relativ focalizați. Căutarea bazată pe integritatea fișierelor este și mai restrânsă. Comportamentul proceselor pe Windows este mai larg și poate surprinde operațiuni Java sau SAP legitime.
Aceasta înseamnă că interogarea proceselor ar trebui reglată cu contextul gazdei și al liniei de comandă înainte de a fi tratată ca o alertă de severitate ridicată.
Fluxul de investigație
Pentru o potrivire HTTP, stabiliți dacă:
cererea a ajuns la un sistem SAP NetWeaver;
adresa IP sursă este așteptată;
a fost creat sau modificat un fișier JSP;
procesele Java sau SAP au lansat un shell;
au avut loc descărcări către exterior ulterior.
Pentru o potrivire de proces, examinați procesul copil exact și linia de comandă. Automatizarea aprobată repetată poate fi inclusă în profilul de referință, în timp ce execuțiile rare de shell ar trebui să primească mai multă atenție.
Corelarea
O secvență deosebit de puternică ar fi:
accesare încărcător de metadate → fișier JSP nou → java.exe → powershell.exe
Interogările din sursă sunt concepute pentru a oferi aceste puncte de vizibilitate separate.
Valoarea operațională
În loc să se bazeze pe un singur indicator, această abordare combină jurnalele web, monitorizarea integrității fișierelor și telemetria proceselor de la nivelul endpoint-ului.
Pentru sistemele SAP critice, această perspectivă stratificată poate ajuta la distingerea comportamentului benign al aplicației de semnele unei exploatări reușite.
