Server Wazuh non aggiornati presi di mira dai botnet Mirai (CVE-2025-24016)

Due botnet Mirai stanno sfruttando una grave vulnerabilità di esecuzione di codice da remoto (CVE-2025-24016) nella piattaforma open-source Wazuh XDR/SIEM, secondo quanto segnalato dai ricercatori di Akamai.

Cos’è Wazuh?
Wazuh è una popolare soluzione open-source per la gestione delle informazioni e degli eventi di sicurezza (SIEM) e per la rilevazione e risposta estesa (XDR). È ampiamente utilizzata per il rilevamento delle intrusioni a livello host, l’analisi dei log, il monitoraggio dell’integrità dei file e molte altre funzioni.

I suoi componenti principali sono:

Wazuh Manager: il componente server che analizza i dati ricevuti e genera avvisi. È progettato per sistemi operativi basati su Debian e RHEL.
Wazuh Agent: raccoglie i dati dagli endpoint da monitorare e li invia al Manager.
Elasticsearch e Kibana: utilizzati per l’indicizzazione e la visualizzazione dei dati di sicurezza.

La vulnerabilità CVE-2025-24016 è legata a una deserializzazione non sicura nelle versioni di Wazuh Manager dalla 4.4.0 alla 4.9.0. Secondo l’avviso di sicurezza, chiunque abbia accesso all’API di Wazuh (ad esempio tramite una dashboard compromessa o un nodo del cluster vulnerabile) può sfruttare la falla, e in alcune configurazioni anche un agente compromesso potrebbe farlo. Per l’exploit, l’attaccante deve ottenere le credenziali di un utente valido dell’API di Wazuh. La vulnerabilità è stata corretta nella versione 4.9.1, rilasciata nell’ottobre 2024. La sua esistenza è stata resa pubblica nel febbraio 2025.

Sfruttamento della CVE-2025-24016 da parte dei botnet Mirai
Secondo Akamai, lo sfruttamento attivo di questa falla è iniziato nel marzo 2025.

La vulnerabilità viene utilizzata per ampliare due diversi botnet Mirai. L’exploit si basa su un proof-of-concept (PoC) pubblicato il 21 febbraio, che consente di eseguire uno script malevolo in grado di scaricare varianti del malware Mirai. All’inizio di maggio 2025, Akamai ha rilevato un altro botnet Mirai che utilizzava richieste strutturate in modo simile, ma indirizzate a un endpoint Wazuh non standard. “Poiché le richieste sono quasi identiche al PoC, fatta eccezione per l’endpoint, è probabile che il botnet stia ancora cercando di sfruttare la stessa vulnerabilità in Wazuh”, hanno osservato i ricercatori. Come il primo, anche questo botnet distribuisce payload Mirai destinati a molteplici architetture, tipiche dei dispositivi IoT.

Entrambi i botnet stanno inoltre tentando di sfruttare vecchie vulnerabilità in:

Hadoop YARN
Router legacy di TP-Link, ZTE, Huawei, ZyXEL
SDK RealTek

Questi attacchi dimostrano che gli operatori dei botnet monitorano costantemente le nuove vulnerabilità e sono rapidi nell’adattare i PoC pubblici per far crescere i propri botnet o crearne di nuovi. Purtroppo, come dimostrato dal recente e rapido sfruttamento di una falla RCE in Roundcube, gli attaccanti più esperti non hanno nemmeno bisogno di un PoC pubblico: possono analizzare patch e messaggi di commit per identificare vulnerabilità appena corrette e iniziare a sfruttarle prima che la maggior parte degli utenti abbia applicato gli aggiornamenti.