据报道，Forescout Vedere Labs的安全研究人员发现，中国黑客与针对SAP NetWeaver服务器的攻击有关。这些攻击利用了一种影响SAP NetWeaver实例的高危漏洞。SAP公司已于4月24日发布了紧急补丁，以解决这一未经身份验证的文件上传安全漏洞（追踪为CVE-2025-31324）。
ReliaQuest报告称，多个客户系统被未经授权的文件上传所攻破，攻击者在公共目录上传了JSP网络外壳以及Brute Ratel红队工具。这些被攻破的SAP NetWeaver服务器已完全打了补丁，表明攻击者使用了零日漏洞。其他网络安全公司，包括watchTowr和Onapsis，也确认攻击者在未打补丁的在线实例上上传了网络外壳后门。
根据Forescout Vedere Labs的调查，这些攻击与一个被追踪为Chaya_004的中国威胁行为者有关。攻击从使用异常自签名证书的IP地址发起，这些证书模仿Cloudflare，且许多属于中国的云服务提供商（如阿里巴巴、深圳腾讯、华为云服务和中国联通）。