Campania vizează aplicațiile vulnerabile la CVE-2025-55182, o vulnerabilitate de tip deserialization pre-autentificare în React Server Components, dezvăluită pentru prima dată în decembrie 2025. Cu un scor CVSS de 10.0, vulnerabilitatea permite atacatorilor să realizeze execuție de cod la distanță prin trimiterea unei singure cereri HTTP special concepute către un punct final Server Function — fără a fi necesare credențiale. Chiar și aplicațiile Next.js implicite create cu create-next-app sunt exploatabile fără nicio modificare de cod din partea dezvoltatorului, conform cercetărilor de la Unit 42 al Palo Alto Networks.

 

 

Odată ce un atacator obține accesul inițial, setul automatizat de instrumente al UAT-10608 preia controlul fără nicio altă interacțiune manuală. Script-ul de colectare multi-fază rulează module care extrag variabilele de mediu, extrag chei private SSH, identifică șiruri de caractere cu credențiale folosind pattern-matching, interoghează API-urile de metadate cloud pentru Amazon Web Services, Google Cloud și Microsoft Azure, și extrag token-uri de cont de serviciu Kubernetes și configurații de containere. Datele furate — incluzând token-uri GitHub, chei API Stripe, șiruri de conexiune la baze de date cu parole în text clar și credențiale de rol IAM — sunt trimise către un server de comandă și control care găzduiește tabloul de bord web NEXUS Listener, unde operatorii pot naviga și analiza informațiile colectate.