Обычная функция записи PDF-метаданных привела аналитиков к целому арсеналу для взлома. В начале октября VulnCheck зафиксировала 38 запросов к ловушке Gotenberg с одного IP-адреса японского провайдера. Атакующий попытался доставить обратную командную оболочку cache_base, а анализ адресов загрузки вывел на GitHub-репозиторий с бэкдорами и другими инструментами.
Gotenberg превращает HTML, веб-страницы и офисные документы в PDF с помощью Chromium и LibreOffice. Входом для атаки стала CVE-2026-42589 с критической оценкой 9,8 балла по CVSS 3.1. Через API изменения метаданных PDF можно передать специально сформированный JSON, внедрить аргументы в ExifTool и запустить команды Perl без учётных данных. Разработчики исправили ошибку в версии 8.31.0.
Сначала злоумышленник выполнил команду id и записал результат во временный файл. Затем подставил содержимое файла в поле Subject возвращаемого PDF, чтобы увидеть ответ сервера. После проверки атакующий запросил cache_base по трём адресам: через GitHub, Gitea и домен с динамическим DNS. Для последней попытки использовал Node.js на случай отсутствия wget и curl в контейнере.
Образец cache_base оказался 5,2-мегабайтным файлом для Linux x86-64, собранным на Go. После запуска вредонос создаёт файл блокировки, узнаёт внешний IP-адрес через ipinfo.io и подключается к одному из двух управляющих серверов. Затем программа связывает сетевое соединение с /bin/sh и позволяет удалённо выполнять команды. Собственного механизма закрепления у cache_base нет.
Один из адресов загрузки вывел VulnCheck на открытый репозиторий GitHub с 188 коммитами. История начинается в марте и охватывает семь месяцев: разработчик добавлял сборки для ARM64, MIPS и Windows, а также отдельную программу для работы через HTTP, SSH, TCP и UDP. В другом репозитории на Gitea нашлась версия cache_cn с похожим кодом, но иным управляющим сервером.
Кроме обратных оболочек, арсенал включал загрузчик новых компонентов, программу для повторного запуска вредоноса, инструменты JuicyPotatoNG и RegPwn для повышения привилегий Windows и три PHP-веб-шелла. Отдельные архивы маскировались под плагины WordPress и Joomla. Первый содержал командную оболочку, а два других записывали PHP-веб-шеллы при установке.
За 30 дней наблюдений VulnCheck насчитала 1358 попыток эксплуатации CVE-2026-42589 со 128 IP-адресов. Аналитики выделили не менее семи групп активности, от сканирования до установки майнеров и обратных оболочек. Сервис Gotenberg уже фигурировал в атаках с вредоносом PoeLLM, но совпадение цели не доказывает связи между операторами разных кампаний.
Найденный репозиторий не доказывает, что весь арсенал применяли при одной атаке или что злоумышленнику удалось закрепиться на реальных серверах. Подтверждены запросы к ловушке, попытки доставки cache_base и существование инструментов в репозиториях. Уязвимость уже эксплуатируют разные группы, хотя в каталоге эксплуатируемых ошибок CISA KEV CVE-2026-42589 пока отсутствует.
