Malware botnet RondoDox sekarang meretas server menggunakan kelemahan XWiki

Malware botnet RondoDox kini mengeksploitasi kelemahan kritis eksekusi kode jarak jauh (RCE) di Platform XWiki yang dilacak sebagai CVE-2025-24893.

Pada tanggal 30 Oktober, Badan Keamanan Siber dan Informasi AS (CISA) menandai kelemahan tersebut sebagai dieksploitasi secara aktif.

Kini, sebuah laporan dari perusahaan intelijen kerentanan VulnCheck mencatat bahwa CVE-2025-24893 dimanfaatkan dalam serangan oleh berbagai pelaku ancaman, termasuk operator botnet seperti RondoDox dan penambang mata uang kripto.

RondoDox adalah malware botnet berskala besar pertama kali didokumentasikan oleh Fortinet pada bulan Juli 2025 sebagai ancaman yang muncul. Pada awal Oktober, Trend Micro memperingatkan tentang pertumbuhan eksponensial RondoDox, dengan varian terbaru yang menargetkan setidaknya 30 perangkat melalui 56 kerentanan yang diketahui, beberapa di antaranya diungkapkan di kompetisi peretasan Pwn2Own.

Mulai 3 November, VulnCheck mengamati eksploitasi RondoDox CVE-2025-24893 melalui permintaan HTTP GET yang dibuat khusus yang memasukkan kode Groovy berkode base64 melalui titik akhir XWiki SolrSearch, menyebabkan server mengunduh dan mengeksekusi muatan shell jarak jauh.

Skrip yang diunduh (rondo..sh) adalah pengunduh tahap pertama yang mengambil dan mengeksekusi muatan utama RondoDox.

Para peneliti mengamati serangan tambahan melibatkan penerapan penambang cryptocurrency pada tanggal 7 November, dan juga upaya untuk membuat bash reverse shell terjadi pada tanggal 31 Oktober dan 11 November.

VulnCheck juga mencatat pemindaian luas menggunakan Nuclei, mengirimkan muatan yang mencoba untuk dieksekusi kucing /etc/passwd melalui injeksi Groovy di titik akhir XWiki SolrSearch, serta pemeriksaan berbasis OAST.

Platform XWiki adalah platform wiki perusahaan sumber terbuka berbasis Java yang digunakan terutama untuk solusi manajemen pengetahuan internal yang dihosting sendiri.

CVE-2025-24893 berdampak pada versi sebelum 15.10.11 dan 16.4.1, yang merupakan target peningkatan bagi administrator. Mengingat status eksploitasi aktif untuk kelemahan ini, disarankan untuk segera melakukan patching.

Menurut para peneliti, banyak penyerang mulai memanfaatkan kerentanan hanya beberapa hari setelah eksploitasi awal dimulai.

Mereka mencatat bahwa insiden yang mereka amati berasal dari agen pengguna dan server muatan terdokumentasi yang terkait dengan RondoDox. Artinya, indikator kompromi (IoC) yang tersedia untuk umum untuk botnet harus memblokir upaya eksploitasi ini.