Der Kern des Angriffs ist simpel: Werden an eine Anfrage bestimmte Parameter wie ?raw, ?import&raw oder ?import&url&inline angehängt, greift die Sperrlisten-Filterung nicht mehr. „Der Server erzwingt die Deny-List-Filterung nicht und liefert die Zieldatei mit einer HTTP-200-Antwort aus", erklärt F5. Damit lassen sich Dateien im Klartext abrufen, auf die ein nicht authentifizierter Angreifer keinen Zugriff haben dürfte.
Nach dem ersten erfolgreichen Zugriff konzentrierten sich die Scans gezielt auf wertvolle Geheimnisse. Die Angreifer arbeiteten dabei mit umfangreichen Wortlisten, um typische Ablageorte für Zugangsdaten und Konfigurationen von AWS- und Azure-Deployments systematisch abzuklappern.
F5 beobachtete zudem Versuche mit Traversal- und Kodierungsvarianten, darunter doppelt kodierte Traversal-Sequenzen. Offenbar sollten damit Reverse Proxies oder die Normalisierung durch Web Application Firewalls umgangen werden.
Der Großteil der schädlichen Aktivität stammte aus den Vereinigten Staaten, Belgien und den Niederlanden. Zur Verschleierung griffen die Angreifer auf IP-Bereiche der Google Cloud zurück. Als aktivste Quellen nennt F5 die Adressen 34.14.15[.]105, 34.16.200[.]129 und 34.11.196[.]206 und rät, diese zu sperren.
Dieselben besonders aktiven IP-Adressen setzten auch auf weitere Schwachstellen in der Zugriffskontrolle von Vite: CVE-2025-30208, CVE-2025-31125 – die als aktiv ausgenutzt markiert ist – sowie CVE-2024-45811. Das Muster zeigt, dass die Betreiber der Kampagne nicht auf eine einzelne Lücke setzen, sondern ein ganzes Bündel bekannter Vite-Schwachstellen durchprobieren.
Vite bindet sich im Normalfall nur an localhost, sodass der Entwicklungsserver lokal bleibt. Nach Beobachtung der F5-Forscher machen Entwickler den Dienst jedoch häufig selbst öffentlich erreichbar – etwa durch die Option –host, durch Setzen von server.host oder durch fehlerhaft konfigurierte Docker-Portzuordnungen. Genau diese Installationen findet die Scan-Kampagne.
F5 empfiehlt, Vite-Server auf die aktuelle Version zu aktualisieren, in der die ausgenutzten Schwachstellen behoben sind. Ergänzend rät das Unternehmen dazu, den Zugriff über Port 5173 zu blockieren, verdächtige Anfragen auf /@fs/ zu unterbinden und User-Agent-Kennungen von Crawlern nicht ungeprüft zu vertrauen.
Waren ungepatchte Vite-Server öffentlich erreichbar, sollten Betreiber davon ausgehen, dass Geheimnisse abgeflossen sein könnten: F5 empfiehlt in diesem Fall, sämtliche Zugangsdaten und Schlüssel zu rotieren, die vom verwundbaren System aus erreichbar waren.