Çinlə əlaqəli hakerlər PHP2Shell ilə ABŞ hökumət şəbəkəsinə sızdı

Çinlə əlaqəli şübhəli hakerlər Dream-in bildirdiyinə görə PHP2Shell zəifliklərindən və Linux nüvəsindəki zəiflikdən istifadə edərək ABŞ hökumətinə bağlı şəbəkəyə sızdılar. Firma bildirdi ki, hücumçular dörd ölkə üzrə 19 000 internetə açıq cihazı skan etdikdən sonra 24 firewall-u pozdular. Pozuntu 25 oktyabrda aşkarlandı və PHP2Shell-in tam hökumət şəbəkəsi pozuntusuna zəncirləndiyi ilk sənədləşdirilmiş hal kimi təsvir edilir.

Hücum necə işlədi

Pozuntu hər biri 9.2 ciddilik dərəcəsi ilə qiymətləndirilən və ümumilikdə PHP2Shell adlandırılan iki kritik PHP zəifliyinin açıqlanmasından sonra baş verdi. Dream bildirdi ki, hücumçular CVE-2026-109618 və CVE-2006109619 PHP2Shell zəifliklərini Fragnesia adlı Linux nüvəsi zəifliyi, CVE-2026046300 ilə birləşdirərək autentifikasiya olmadan zəif firewall-lara root giriş əldə etdilər. Dream şirkətinin Məhsul və Kiber Tədqiqat üzrə vitse-prezidenti Kfir Fleischer dedi ki, PHP2Shell etibarlı şəkildə istismar etmək çətindir, çünki dəqiq, versiyaya xas yaddaş offsetləri tələb edir və universal exploit mövcud deyil. O dedi ki, hücumçu onu əlavə yerli imtiyaz yüksəltmə zəifliyi ilə zəncirləməli idi, bu da ümumi hücumu iki mərhələli zəncirə çevirirdi. Dream bildirdi ki, ideal şəraitdə belə cəhdlərin yalnız təxminən 10%-i uğur qazandı, uğursuzluqların çoxu vaxt aşımı idi.

Miqyas və hədəflər

Dream tədqiqatçıları hücumçu qeydlərini, exploit alətlərini və təxminən 40 post-exploitation skriptini bərpa etdikdən sonra Hero adlı daxili AI tədqiqat sistemindən istifadə edərək əməliyyatı yenidən qurdular. Hücumçular 19 000 internetə açıq firewall müəyyən etdilər və hədəflərini ABŞ, Yaponiya, Tayvan və Cənubi Koreya üzrə 240 zəif cihaza daraltdılar. Onlar daxili idarəetmə serverini hədəf almadan əvvəl 24 firewall-u uğurla pozdular; həmin server adı açıqlanmayan ABŞ hökumətinə bağlı təşkilata məxsus idi. Dream bildirdi ki, hücumçular giriş hüququnu saxladılar, əsas firewall idarəetmə serverini sındırdılar və Active Directory etimadnamələrini oğurladılar; bu, onlara şəbəkənin daha böyük hissəsinə giriş imkanı verə bilərdi. Sonra hücumçular istifadəçi hesablarını və qruplarını siyahıladılar, bir çox hesabda ümumi parolları yoxladılar, gizli giriş hesabları yaratmağa və imzalama açarlarını oğurlamağa çalışdılar, lakin tədqiqatçılar bu əlavə hücumların uğur qazanıb-qazanmadığını müəyyən edə bilmədilər.

AI siqnalları və daha geniş cavab

Dream həmçinin kampaniyada potensial AI iştirakını müəyyən etdi; bura Claude Code quraşdırmaları və Çin modelləri DeepSeek və Kimi ilə konfiqurasiya edilmiş hücuma yönəlmiş təhlükəsizlik alətləri daxildir. Şirkət fəaliyyəti konkret təhlükə aktyoruna aid etməyib, lakin dil promptları, vaxt nişanları və coğrafi hədəflərə görə kampaniyanın Çinlə əlaqəli əməliyyatın bir hissəsi olduğuna inandığını bildirib. CISA aktiv istismarı təsdiqlədi və federal agentliklərə 29 oktyabra qədər azaltma tədbirləri həyata keçirməyi əmr etdi. Cybernews bildirdi ki, 32.5 milyon PHP xidməti hələ də həssas versiyalarda işləyir; bunlardan 10.3 milyonu ABŞ-dadır. Amazon isə PHP istismar cəhdlərini ictimai açıqlamadan dörd gün əvvəl, 17 oktyabrda aşkar etdi və Cloudflare elanın ardınca milyonlarla hücum cəhdi müşahidə etdi.

Əvvəlki yazılar: CISA iki PHP2Shell RCE boşluğunu KEV kataloquna əlavə etdi

Mənbələr: Cybernews