Злоумышленники запустили в Google Cloud свой скан-сервис для поиска уязвимостей в веб-приложениях (OAST, Out-of-band Application Security Testing). За последние два месяца было совершено около 1400 попыток эксплойта с его использованием.
В ходе атак с применением кастомного тулкита эксперты VulnCheck насчитали более 200 опробованных уязвимостей. Суммарно выявлено семь IP-адресов, связанных с вредоносной активностью: хост-сервер в домене detectors-testing[.]com и шесть сканеров, размещенных в поддоменах.
Источник попыток эксплойта привлек внимание аналитиков тем, что агрессивный трафик исходил из неизвестного OAST-домена. Авторы атак обычно ленятся создавать с этой целью специальную инфраструктуру и при поиске незакрытых уязвимостей пользуются публичными сервисами — вроде oast.fun.
Как оказалось, обнаруженный частный сервис проверки приложений на уязвимость использует в основном шаблоны, включенные в набор Nuclei, в том числе устаревшие, уже удаленные из официальных репозиториев, а также кастомную полезную нагрузку.
В частности, в эксплойт-атаках, нацеленных на ресурсы бразильской компании Canary Systems (разработчик систем сбора данных и интеграции для геотехнического мониторинга) засветилась RCE-уязвимость CVE-2025-4428 в Ivanti Endpoint Manager Mobile.
Использование Google Cloud в данном случае позволяет скрыть вредоносные обратные вызовы в легитимном трафике и уберечь криминальный сервис от блокировки.
