💻 computer science

Internet-Scale Measurement of React2Shell Exploitation Using an Active Network Telescope

Questo studio presenta la prima misurazione su scala Internet dell'attività di sfruttamento della vulnerabilità RCE React2Shell (CVE-2025-55182) tramite un telescopio di rete attivo, caratterizzando l'evoluzione temporale, la distribuzione geografica e le infrastrutture degli attaccanti coinvolti nelle campagne di scansione automatizzata.

Autori originali: Aakash Singh, Kuldeep Singh Yadav, Md Talib Hasan Ansari, V. Anil Kumar

Pubblicato 2026-03-16

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Aakash Singh, Kuldeep Singh Yadav, Md Talib Hasan Ansari, V. Anil Kumar

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🕵️‍♂️ Il Caso "React2Shell": Come un'Intelligenza Artificiale ha Sorpreso i Hacker

Immagina che il mondo digitale sia una gigantesca città piena di case (i siti web) e che queste case siano costruite con mattoni speciali chiamati "React Server Components". Questi mattoni sono molto efficienti, ma recentemente è stato scoperto un difetto terribile in uno di essi: la React2Shell (CVE-2025-55182).

Pensate a questo difetto come a una porta segreta in una casa che, invece di chiudersi, si apre automaticamente se qualcuno le sussurra una frase specifica. Chiunque conosca la frase può entrare, prendere le chiavi di casa e fare quello che vuole (rubare dati, installare virus, ecc.).

Ecco cosa hanno fatto gli autori di questo studio per capire cosa stava succedendo:

1. Il "Faro" nel Deserto (Il Telescopio di Rete)

Di solito, per studiare i criminali, si mettono delle trappole (honeypot) che sembrano case vere. Ma qui gli scienziati hanno usato una strategia più intelligente: il Telescopio di Rete Attivo (Active Network Telescope).

Immaginate di avere un faro gigante in mezzo al mare (Internet) che non emette luce, ma che ha un trucco: se un'onda (un hacker) colpisce il faro, il faro risponde immediatamente dicendo: "Ehi, sono qui! Entra pure!".

Il trucco: Normalmente, se colpisci un faro spento, l'onda rimbalza e basta. Qui, il faro risponde, permettendo agli scienziati di vedere cosa l'hacker stava cercando di fare una volta entrato, invece di vedere solo il tentativo di colpire. È come se un poliziotto nascondesse un registratore sotto il tappeto e dicesse al ladro: "Entra, ti ascolto mentre rubi".

2. La Caccia al Tesoro (L'Analisi)

Il 3 dicembre 2025, la "frase segreta" (la vulnerabilità) è stata resa pubblica. Gli scienziati hanno acceso il loro faro e hanno aspettato.
Hanno scoperto che pochi minuti dopo, i ladri sono arrivati in massa.

La velocità: È stato come se qualcuno avesse urlato "C'è oro in questa casa!" e tutti i ladri del mondo fossero scattati in azione in pochi minuti.
Il metodo: I ladri non stavano bussando a caso. Usavano dei robot automatici (scanner) che correvano velocissimi, provando la "frase segreta" su milioni di porte contemporaneamente.

3. Chi sono i Ladri? (Geografia e Infrastruttura)

Gli scienziati hanno analizzato da dove venivano questi robot e dove stavano nascondendo i loro strumenti.

I Ladri (Scanner): Erano sparsi un po' ovunque nel mondo, ma molti venivano dai Paesi Bassi, dalla Polonia e dagli Stati Uniti. Era come se avessero un esercito di robot distribuiti in tutto il globo.
La Base Segreta (Backend): Qui c'è la sorpresa. Anche se i robot venivano da tutto il mondo, quasi tutti si collegavano a poche basi segrete nascoste principalmente in Paesi Bassi e in Tunisia.
- Analogia: Immaginate che i ladri arrivino in bicicletta da Milano, Roma e Torino, ma che tutti portino i sacchi rubati in un unico magazzino nascosto a Milano. È molto più facile per la polizia bloccare il magazzino che inseguire ogni singola bicicletta!

4. Cosa Cercavano? (Le Porte Giuste)

I robot non provavano a entrare da tutte le finestre. Sapevano esattamente dove bussare.
Si concentravano su porte specifiche (come la 80, la 443, la 3000), che sono le "porte principali" dei siti web moderni. Non stavano cercando di scalare i muri o sfondare i tetti; stavano usando la chiave magica sulla porta d'ingresso.

📝 Le Conclusioni in Pillole

La reazione è stata immediata: Appena la vulnerabilità è stata annunciata, i robot hanno iniziato a lavorare. Non c'era tempo da perdere.
C'è una differenza tra chi attacca e chi ospita: Gli attaccanti sono sparsi ovunque (difficili da fermare tutti), ma le loro basi operative sono poche e concentrate (facili da colpire).
Non è un'azione singola: Non era un singolo hacker geniale, ma un'operazione coordinata e automatizzata, come un esercito di formiche robotiche.

💡 Perché è importante?

Questo studio ci insegna che quando si scopre un buco in un sistema molto usato (come React, che è ovunque), il mondo intero viene attaccato in pochi minuti. La soluzione non è solo riparare il buco, ma capire che i "ladri" usano basi centralizzate. Se riusciamo a bloccare quelle poche basi segrete (i server in Paesi Bassi e Tunisia), possiamo fermare gran parte degli attacchi, anche se i robot continuano a correre da tutto il mondo.

In sintesi: Hanno usato un faro intelligente per vedere come i ladri lavorano, scoprendo che, anche se sono sparsi ovunque, tutti tornano allo stesso nascondiglio.

Titolo: Misurazione su Scala Internet dello Sfruttamento di React2Shell Tramite un Telescopio di Rete Attivo

1. Il Problema

L'adozione crescente di framework web basati su componenti lato server (come Next.js e Remix che utilizzano React Server Components - RSC) ha introdotto nuove superfici di attacco a livello applicativo. Il 3 dicembre 2025 è stata pubblicamente rivelata una vulnerabilità critica di esecuzione remota di codice (RCE), denominata React2Shell (CVE-2025-55182), con un punteggio CVSS di 10.0.
La vulnerabilità risiede nella deserializzazione insicura dei dati dei componenti scambiati tramite il protocollo React Flight. Questo difetto permette a un attaccante non autenticato di manipolare la catena dei prototipi JavaScript (tramite __proto__ e constructor) per ottenere un riferimento al costruttore globale Function, eseguendo codice arbitrario sul server.
Nonostante la gravità e l'immediata osservazione di exploit "in the wild", mancava una comprensione empirica su scala globale di come questa vulnerabilità venisse sfruttata: non esistevano studi peer-reviewed che caratterizzassero la dinamica temporale, la distribuzione geografica e l'infrastruttura degli attaccanti.

2. Metodologia

Gli autori hanno condotto uno studio di misurazione su scala Internet utilizzando un Telescopio di Rete Attivo (Active Network Telescope - ANT), una soluzione innovativa rispetto ai telescopi passivi tradizionali.

Infrastruttura ANT: Il sistema è composto da due punti di vista (VP1 e VP2) con blocchi di indirizzi IP non assegnati a host reali. A differenza dei telescopi passivi che ignorano le richieste TCP (poiché non inviano SYN/ACK), l'ANT utilizzato risponde attivamente ai pacchetti SYN, stabilendo una connessione TCP completa. Questo permette di catturare il payload iniziale (fino ai byte della finestra di congestione iniziale) e verificare che l'indirizzo IP sorgente non sia spoofato.
Raccolta Dati: I dati sono stati raccolti dal 5 dicembre 2025 (giorno successivo alla divulgazione pubblica) per un mese. Sono stati monitorati 511 indirizzi IP su VP1 e 124 su VP2.
Pipeline di Rilevamento:
1. Ricostruzione del Flusso: I pacchetti grezzi vengono assemblati per ricostruire i flussi TCP e le stringhe di byte applicative.
2. Decodifica e Normalizzazione: I payload subiscono una decodifica deterministica (UTF-8, Latin-1, URL decoding, Base64, decompressione gzip/zlib) per normalizzare i dati.
3. Firma di Rilevamento: È stata sviluppata una firma congiunta basata su tre indicatori strutturali specifici di React2Shell che devono essere presenti simultaneamente:
  - Riferimento esplicito a __proto__ (traversamento del prototipo).
  - Stringa constructor: constructor (accesso alla catena dei costruttori).
  - Token di riferimento React Flight (pattern $d+:), che lega la manipolazione al contesto di deserializzazione RSC.
    Questa combinazione garantisce un basso tasso di falsi positivi, distinguendo l'exploit dal traffico legittimo di React/Next.js.

3. Contributi Chiave

Il lavoro apporta i seguenti contributi originali:

Pipeline Sistematica: Sviluppo di un framework end-to-end per identificare exploit React2Shell nei dati di un telescopio di rete, ricostruendo i payload e applicando firme protocollo-consapevoli.
Validazione Temporale: Utilizzo di due punti di vista indipendenti per dimostrare una forte correlazione temporale (coefficiente di Pearson $r=0.87$ ) nell'attività di exploit, confermando l'assenza di traffico malevolo prima della divulgazione pubblica e validando la firma di rilevamento.
Caratterizzazione dell'Infrastruttura: Analisi quantitativa della distribuzione geografica e degli Autonomous System (AS) sia delle fonti di scansione che dell'infrastruttura backend (server di destinazione) utilizzata negli exploit.
Analisi del Payload: Dimostrazione che gli exploit utilizzano prevalentemente indirizzi IP diretti invece di nomi di dominio per l'infrastruttura backend, rivelando una struttura operativa specifica.

4. Risultati

L'analisi dei dati raccolti ha rivelato diverse dinamiche critiche:

Evoluzione Temporale: L'attività di exploit è iniziata immediatamente dopo la divulgazione (5 dicembre 2025), mostrando un'escalation rapida. Il picco è stato raggiunto il 19 dicembre con oltre 88.000 connessioni in un solo giorno (su VP1).
Distribuzione Geografica degli Attaccanti:
- Gli scanner sono distribuiti globalmente, ma con concentrazioni specifiche: i Paesi Bassi (37,1%) e la Polonia (30,1%) sono le fonti principali, seguiti dagli USA.
- Sono stati osservati 735 indirizzi IP sorgente unici e 239 AS unici.
Asimmetria Infrastrutturale:
- Mentre le fonti di scansione sono diffuse, l'infrastruttura backend (i server che ricevono il payload o a cui vengono reindirizzati) è altamente concentrata. Il 62,6% del traffico di reindirizzamento backend risiede nei Paesi Bassi, seguito dalla Tunisia.
- Esiste una chiara separazione: scanner distribuiti globalmente puntano verso un set ristretto e riutilizzabile di server backend.
Comportamento di Scansione:
- Gli scanner mostrano un comportamento sistematico e automatizzato, contattando quasi tutti gli indirizzi monitorati su porte specifiche (80, 443, 3000-3002, 8080).
- La crescita degli IP sorgente è rapida, ma quella degli AS è più graduale, indicando che nuovi scanner provengono spesso da provider di rete già attivi nel settore.
Porte Target: L'attività è concentrata su un sottoinsieme limitato di porte applicative, confermando che gli attaccanti mirano specificamente a servizi web esposti (Next.js/React) e non effettuano scansioni indiscriminate.

5. Significato e Implicazioni

Questo studio è il primo a fornire una caratterizzazione quantitativa su scala Internet dell'attività di scansione innescata da React2Shell.

Rischi Sistemici: Dimostra come le vulnerabilità critiche nei framework open-source diffusi possano essere "armate" e sfruttate in massa entro ore dalla divulgazione, guidate da scanner automatizzati.
Strategia di Difesa: La scoperta di un'infrastruttura backend centralizzata (rispetto agli scanner distribuiti) suggerisce che le misure di mitigazione potrebbero essere più efficaci se focalizzate sul blocco o sulla pulizia di un numero limitato di server backend riutilizzati, piuttosto che tentare di bloccare ogni singolo scanner IP.
Metodologia: L'uso di un telescopio di rete attivo ha permesso di catturare payload applicativi che sarebbero rimasti invisibili ai telescopi passivi tradizionali, offrendo una visibilità senza precedenti sulle tecniche di exploit reali.

In conclusione, il lavoro sottolinea la necessità di una gestione rapida delle patch e di meccanismi di risposta coordinata alle vulnerabilità, evidenziando come la complessità dei meccanismi di serializzazione moderni introduca rischi significativi per l'infrastruttura web globale.