网络安全公司 Mandiant 的报告称，CVE-2025-0282 零日漏洞利用活动开始于 2024 年 12 月中旬。这一漏洞的利用引发了人们对潜在网络漏洞以及受影响组织后续损害的担忧。

　　比较而言，CVE-2025-0282 是两个漏洞中更为严重的一个，被描述为未经身份验证的基于栈的缓冲区溢出漏洞。

　　利用该漏洞，攻击者无需身份验证即可实现远程代码执行，从而为他们在受感染的网络中部署恶意软件或进行进一步攻击提供立足点。

　　Mandiant 的持续调查表明，CVE-2025-0282 正在被利用于针对多个组织的定向攻击活动中。

　　攻击者在发起攻击前展示了探测 ICS 设备版本的高超技术，特别是针对特定软件版本中的漏洞进行攻击。

　　攻击者在利用 CVE-2025-0282 时典型的攻击步骤包括禁用 SELinux 等安全功能VPN国外网站推荐、写入恶意脚本、部署 Web Shell 以及篡改系统日志以隐藏入侵痕迹。

　　特别令人担忧的是，攻击者植入了在系统升级后仍然能够存活的持久化恶意软件组件，确保即使系统被修补，攻击者仍能保持访问权限。

　　分析还揭示了攻击者在 ICS 软件组件中部署了 Web Shell，以实现远程访问和代码执行。

　　例如，PHASEJAM 恶意软件会劫持系统升级过程，利用基于 HTML 的虚假升级进度条，从视觉上让管理员误以为升级正在进行。实际上，恶意行为者会悄悄阻止合法升级，确保系统仍然受到入侵威胁，同时保持攻击不被发现。

　　受感染的 ICS 设备数据库缓存已多次被泄露，这引发了人们对暴露的 VPN 会话数据、 API 密钥、凭证和证书的担忧。

　　网络安全专家警告称，如果这些漏洞的概念验证利用代码被公开，可能会吸引更多威胁行为者参与，从而导致攻击的范围扩大。