CVE-2025-0994 在野利用分析：黑客如何通过 Cityworks RCE 漏洞攻陷 IIS 服务器？

一、漏洞概述一场针对地方政府基础设施的“零日风暴”2025年1月一场悄无声息的网络攻击正在美国多地政府网络中蔓延。攻击者的目标不是传统的金融系统或军工企业而是掌管着城市供水、污水处理、能源配送和交通管理的资产管理系统——Trimble Cityworks。2025年2月6日Trimble公司向CISA报告了一个编号为CVE-2025-0994的反序列化漏洞。仅仅一天之后的2月7日CISA就将该漏洞正式加入已知被利用漏洞目录KEV。这意味着该漏洞在被公开披露之前就已经被黑客在真实攻击中利用了。根据CISA官方公告CVE-2025-0994是一个影响Trimble Cityworks资产管理系统的高危远程代码执行RCE漏洞。该漏洞源于Cityworks在处理序列化数据时存在不安全的输入验证CWE-502反序列化不可信数据允许经过身份验证的远程攻击者向应用程序发送特制的HTTP请求进而在目标系统上执行任意代码。漏洞的CVSS v4.0评分为8.6高危攻击向量为网络远程利用攻击复杂度低且无需用户交互。CVSS v3.1评分为7.2同样属于高危级别。受影响的版本范围如下Cityworks所有早于15.8.9的版本Cityworks with office companion所有早于23.10的版本修复版本已于2025年1月28日15.8.9和1月29日23.10发布。二、技术原理深度剖析反序列化漏洞如何“一击致命”2.1 什么是反序列化漏洞要理解CVE-2025-0994的攻击原理首先需要理解序列化与反序列化的机制。在.NET应用Cityworks基于.NET框架运行于IIS之上中序列化是将对象状态转换为可存储或传输的格式如二进制、JSON、XML等的过程而反序列化则是逆向过程——将数据流重建为内存中的对象。问题出在哪里当应用程序接收并反序列化来自用户输入的不可信数据且没有对数据进行充分的验证时攻击者可以精心构造恶意序列化数据在反序列化过程中触发任意代码执行。CVE-2025-0994正是典型的反序列化不可信数据漏洞CWE-502。Cityworks在处理用户提交的序列化数据时未能充分确保数据有效性导致攻击者可以构造特制的HTTP请求触发RCE。2.2 漏洞利用的技术条件根据CISA的技术通报成功利用该漏洞需要满足以下条件攻击者需要拥有经过身份验证的用户权限PR:H攻击者可通过网络远程访问Cityworks应用攻击复杂度低无需用户交互尽管需要身份验证但这并未阻止攻击者的步伐。根据Cisco Talos的安全研究报告攻击者UAT-6382通过窃取或暴力破解合法账户凭证成功绕过身份验证门槛实现了对Cityworks系统的初始访问。2.3 为什么IIS服务器成为“重灾区”Cityworks作为一款以GIS为核心的资产管理系统通常部署在Microsoft Internet Information ServicesIISWeb服务器上。攻击者一旦通过CVE-2025-0994在Cityworks应用上下文中执行代码就相当于在IIS服务器上获得了应用程序池权限。更危险的是Trimble在安全通报中承认部分本地部署的IIS身份权限配置过高。一些管理员为了方便将IIS应用程序池以本地管理员或域管理员权限运行——这意味着攻击者在利用漏洞后直接获得了整个服务器的最高控制权。三、在野攻击全景还原UAT-6382的完整攻击链根据Cisco Talos安全团队发布的详细分析报告攻击活动被追踪为UAT-6382这是一个高度确信来自中文背景的威胁组织。Talos自2025年1月起就在美国地方政府企业网络中发现了该组织的入侵痕迹。3.1 第一阶段初始访问——零日漏洞利用攻击始于对CVE-2025-0994的利用。UAT-6382通过某种方式获取了Cityworks的合法账户凭证可能是通过暴力破解、凭证填充或社工手段随后向Cityworks应用发送特制的反序列化Payload触发远程代码执行。关键点该漏洞在被Trimble修复之前属于零日状态——厂商不知情、无补丁、无防御。这给了攻击者宝贵的时间窗口。3.2 第二阶段快速侦察——“黄金5分钟”根据Talos的观察UAT-6382在成功利用漏洞后的几分钟内就开始执行侦察命令cmd.exe /c ipconfig cmd.exe /c pwd cmd.exe /c dir cmd.exe /c dir c:\ cmd.exe /c dir c:\inetpub cmd.exe /c tasklist cmd.exe /c dir c:\inetpub\wwwroot\CityworksServer\WebSite cmd.exe /c dir c:\inetpub\wwwroot\CityworksServer\WebSite\Assets这些命令的目的非常明确ipconfig确认受害服务器的网络拓扑dir / tasklist枚举文件系统和运行进程进行环境指纹识别特定目录枚举定位Cityworks的Web目录和资源文件夹3.3 第三阶段Web Shell部署——建立持久后门侦察结束后UAT-6382迅速部署了多种Web Shell以实现持久化访问Web Shell工具特征用途AntSword中国菜刀中国黑客圈广泛使用的Web Shell管理工具文件管理、命令执行、数据库操作chinatso/Chopper中国 chop per经典的中国菜刀Web Shell轻量级后门、文件管理Behinder冰蝎加密通信Web Shell躲避流量检测、隐蔽持久化值得注意的是这些Web Shell的界面和代码注释中包含中文字符串成为归因的重要依据。这些Web Shell被放置在IIS可访问的目录中例如c:\inetpub\wwwroot\CityworksServer\Uploads\使得攻击者可以通过HTTP请求随时访问并执行命令。3.4 第四阶段TetraLoader加载器——高级恶意软件投放UAT-6382的攻击链中最具技术含量的一环是TetraLoader——一个基于Rust编写的恶意软件加载器。TetraLoader是基于一个名为MaLoader的恶意软件构建框架开发的。MaLoader于2024年12月出现在GitHub上使用简体中文编写允许操作者将Shellcode和其他Payload封装进Rust二进制文件中。TetraLoader的工作流程如下通过Web Shell将TetraLoader上传到受害服务器TetraLoader在内存中解密并加载ShellcodeShellcode将Cobalt Strike Beacon或VShell注入到notepad.exe等合法进程中恶意软件以“合法进程”的身份在系统中运行绕过传统安全检测3.5 第五阶段C2通信与数据窃取最终阶段UAT-6382建立了与命令与控制C2服务器的稳定通信Cobalt Strike Beacon提供交互式Shell、文件传输、内网渗透等高级功能VShellGoLang编写支持文件管理、命令执行、屏幕截图、代理功能等攻击者还利用PowerShell部署额外的后门以增强持久性。整个攻击链的最终目标直指公用事业管理系统——供水、污水处理、能源配送等关键基础设施。四、IoC与检测如何判断你的系统是否已被攻陷4.1 Trimble官方发布的IoCTrimble在2025年2月6日发布的安全通报中专门列出了与CVE-2025-0994利用相关的入侵指标Indicators of Compromise, IoC。根据安踏AnQuanke的报道这些IoC表明攻击者部署了多种远程访问工具包括WinPuttyWindows平台的SSH客户端用于建立加密通道Cobalt Strike信标商业化的C2框架提供强大的后渗透能力4.2 通过日志分析检测攻击管理员应重点检查以下日志特征1. IIS日志中的异常请求攻击者通过构造特制的序列化Payload触发漏洞IIS日志中可能出现包含大量二进制数据的POST请求请求URL指向Cityworks的反序列化端点异常大的请求体序列化Payload通常较大2. 进程创建日志利用漏洞后攻击者会执行系统命令。Windows安全日志Event ID 4688中可能出现cmd.exe /c后跟侦察命令从IIS工作进程w3wp.exe派生的子进程3. 文件系统变化Web Shell通常以.aspx、.ashx、.asmx等扩展名出现在Cityworks的Web目录中。应重点监控c:\inetpub\wwwroot\CityworksServer\目录下的新增文件Uploads文件夹中的可疑脚本文件4.3 使用runZero进行资产发现根据runZero公司的技术博客安全团队可以使用runZero这类无代理网络发现工具快速识别网络中是否存在易受攻击的Cityworks实例。runZero通过主动扫描网络无需凭证即可发现Cityworks的安装情况。这对于大规模企业网络或托管服务提供商尤其有价值——可以快速定位所有需要打补丁的系统。五、应急响应与缓解方案5.1 立即行动修补漏洞最高优先级CISA在KEV目录中为CVE-2025-0994设定的修复截止日期为2025年2月28日。考虑到该漏洞已在野被积极利用建议在24小时内完成修补。升级路径产品版本修复版本发布日期Cityworks 15.x15.8.92025年1月28日Cityworks 23.x23.102025年1月29日对于云托管实例CWOLTrimble表示更新将自动推送无需手动操作。对于本地部署实例管理员必须手动从Trimble官方渠道下载并应用安全更新。5.2 临时缓解措施无法立即修补时如果因业务连续性原因无法立即升级CISA建议采取以下缓解措施1. 限制IIS应用程序池权限Trimble在安全通报中特别强调不应以本地或域级管理员权限运行IIS。应遵循最小权限原则将IIS应用程序池配置为仅具有执行Cityworks所需的最低权限。2. 加固附件目录部分Cityworks部署的附件目录配置不当。Trimble建议将附件根文件夹限制为仅包含附件文件禁止在附件目录中执行脚本如.aspx、.ashx等实施严格的文件上传白名单策略3. 网络层隔离将Cityworks服务器置于严格的网络访问控制之下仅允许可信IP段访问Cityworks管理界面部署WAFWeb应用防火墙并启用反序列化攻击防护规则使用VPN或跳板机管理Cityworks而非直接暴露在公网4. 加强账户安全鉴于漏洞需要经过身份验证的用户权限应强制实施多因素认证MFA审查并清理所有Cityworks账户禁用不必要的账户强制修改所有Cityworks账户密码监控异常登录行为5.3 入侵检测与应急响应如果你怀疑系统已被入侵应立即1. 隔离受影响系统从网络中断开Cityworks服务器保留完整的内存镜像和磁盘镜像供取证分析2. 检查IoC对照Trimble发布的IoC清单进行排查检查IIS日志中是否存在可疑的POST请求扫描Cityworks Web目录中的新增.aspx文件3. 全面排查横向移动检查域控制器日志中是否存在异常认证扫描内网中是否存在异常的Cobalt Strike Beacon通信检查是否有异常的PowerShell执行记录六、安全启示从CVE-2025-0994看现代攻防趋势6.1 关键基础设施成为APT主战场CVE-2025-0994的攻击目标集中在美国地方政府和公用事业网络。这再次印证了一个趋势关键基础设施水、电、气、交通已成为国家级APT组织的首要目标。Cityworks的客户包括大量市政当局和公用事业公司这使得该漏洞具有极高的战略价值——攻陷一个Cityworks实例就等于获得了管理城市基础设施的“钥匙”。6.2 供应链安全的“软肋”Trimble Cityworks作为资产管理系统处于IT与OT运营技术的交汇点。它既连接着GIS地理信息系统又管理着实际的物理资产运维。这种“数字孪生”式的系统一旦被攻陷后果可能从数据泄露升级为物理世界的破坏。6.3 反序列化漏洞——.NET生态的“老大难”CWE-502反序列化漏洞在.NET生态中并非新鲜事。从2020年的.NET Framework反序列化RCE到2024年的各类ViewState注入攻击反序列化一直是.NET应用安全的“阿喀琉斯之踵”。微软在2025年2月也发出警告称攻击者正在利用暴露的ASP.NET机器密钥通过ViewState代码注入攻击IIS服务器。这进一步说明IIS .NET的组合正面临系统性的反序列化攻击浪潮。6.4 零日漏洞的“在野利用”常态化CVE-2025-0994从被发现到被加入CISA KEV目录仅用了1天。这种“发现即利用”的模式正变得越来越普遍。对防御者而言这意味着被动等待补丁已不再足够——需要在漏洞公开前就具备检测能力威胁情报共享至关重要——CISA的KEV目录为防御者提供了关键的优先级参考纵深防御是唯一出路——即使应用层存在漏洞网络层、主机层、身份层的防御仍然可以阻止或延缓攻击七、实践建议与趋势判断7.1 给Cityworks管理员的紧急行动清单立即执行24小时内✅ 确认Cityworks版本若低于15.8.9或23.10则立即升级✅ 检查IIS应用程序池权限移除管理员权限✅ 审查Cityworks用户账户禁用不活跃账户✅ 检查Uploads等目录是否存在异常.aspx文件短期执行1周内✅ 部署WAF并启用反序列化攻击防护✅ 实施MFA如果Cityworks支持✅ 配置IIS日志集中存储和实时监控✅ 使用runZero等工具进行全网资产扫描长期执行持续✅ 建立定期的漏洞扫描和补丁管理流程✅ 将CISA KEV目录纳入漏洞优先级排序依据✅ 实施零信任架构默认不信任任何网络请求7.2 趋势判断1. 针对GIS/资产管理系统的攻击将持续增加随着智慧城市和数字化转型的推进GIS资产管理系统将成为连接IT和OT的核心节点。CVE-2025-0994只是开始未来会有更多针对此类系统的漏洞被发现和利用。2. Rust编写的恶意工具将成为新常态TetraLoader和MaLoader展示了Rust在恶意软件开发中的潜力。Rust的内存安全特性和跨平台能力使其成为下一代恶意工具的理想选择。安全厂商需要更新检测能力以应对Rust编译的恶意软件。3. 地方政府将成为“新靶场”地方政府IT预算有限、安全能力不足却管理着关键基础设施。CVE-2025-0994的攻击模式表明攻击者正有意识地选择“高价值、低防御”的目标。地方政府需要立即提升安全投入否则将成为网络战的“突破口”。结语CVE-2025-0994不仅是一个技术漏洞更是一面镜子——它映照出关键基础设施在数字化转型浪潮中的安全困境便利性与安全性之间的平衡从未如此脆弱。从技术层面看这是一个典型的反序列化漏洞从攻击层面看这是一场精心策划的、针对美国地方政府基础设施的APT攻击从防御层面看这是一次对漏洞管理、应急响应、纵深防御能力的全面考验。对于每一位安全从业者CVE-2025-0994提醒我们漏洞管理不是“打补丁”那么简单——需要理解漏洞背后的攻击链威胁情报不是“可选项”——CISA KEV目录应该是每个安全团队的必读清单安全不是“成本中心”——当攻击直指供水、供电、供气系统时安全就是民生保障最后最重要的一条建议如果你的组织中存在Cityworks系统请今天就开始升级。CISA给出的修复截止日期是2025年2月28日——但在漏洞已在野被积极利用的当下每一天的延迟都可能意味着一次入侵。本文基于CISA、Cisco Talos、Trimble官方公告、PolySwarm、RunZero等机构在2025年1-5月间发布的公开技术报告编写所有技术细节均可通过文中所引来源验证。文中代码片段来自Talos公开的威胁研究报告。