Չինաստանի հետ կապված հաքերները PHP2Shell օգտագործելով խախտել են ԱՄՆ կառավարական ցանցը

Ըստ Dream ընկերության՝ Չինաստանի հետ կապված ենթադրյալ հաքերները PHP2Shell խոցելիություններով և Linux միջուկի խոցելիությամբ ներթափանցել են ԱՄՆ կառավարության հետ կապված ցանց։ Նրանք չորս երկրում ինտերնետից հասանելի 19,000 սարք սկանավորելուց հետո կոտրել են 24 հրապատ։ Խախտումը հայտնաբերվել է հոկտեմբերի 25-ին և համարվում է PHP2Shell շղթայական կիրառման առաջին փաստագրված դեպքը լիարժեք կառավարական ցանցում։

Ինչպես է աշխատել հարձակումը

Խախտումը հաջորդում է երկու կրիտիկական PHP խոցելիությունների բացահայտմանը, որոնցից յուրաքանչյուրը գնահատվել է 9.2 լրջությամբ և համատեղ կոչվում են PHP2Shell։ Ընկերությունը նշել է, որ հարձակվողները երկու PHP2Shell խոցելիությունները՝ CVE-2026-109618 և CVE-2006109619, համատեղել են Linux միջուկի Fragnesia խոցելիության՝ CVE-2026046300, հետ՝ առանց նույնականացման խոցելի հրապատերում root մուտք ստանալու համար։ Dream արտադրանքի և կիբեռհետազոտության փոխնախագահ Kfir Fleischer ասել է, որ PHP2Shell դժվար է հուսալիորեն շահագործել, քանի որ պահանջում է ճշգրիտ, տարբերակին հատուկ հիշողության շեղումներ, և ունիվերսալ շահագործում գոյություն չունի։ Նա ավելացրել է, որ հարձակվողը պետք է այն շղթայակցի լրացուցիչ տեղային արտոնությունների բարձրացման խոցելիության հետ, ինչը հարձակումը դարձնում է երկփուլ։ Ընկերությունը նշել է, որ նույնիսկ իդեալական պայմաններում փորձերի միայն մոտ 10 տոկոսն է հաջողվել, իսկ ձախողումների մեծ մասը եղել է ժամանակի սպառում։

Շրջանակ և թիրախներ

Dream-ի հետազոտողները վերականգնել են գործողությունը Hero ներքին AI հետազոտական համակարգով՝ հարձակվողի տեղեկամատյանները, շահագործման գործիքները և մոտավորապես 40 շահագործումից հետո սցենարներ վերականգնելուց հետո։ Հարձակվողները նույնականացրել են ինտերնետից հասանելի 19,000 հրապատ և թիրախը նեղացրել մինչև 240 խոցելի սարք ԱՄՆ-ում, Ճապոնիայում, Թայվանում և Հարավային Կորեայում։ Նրանք հաջողությամբ կոտրել են 24 հրապատ՝ նախքան անանուն ԱՄՆ կառավարության հետ կապված կազմակերպության ներքին կառավարման սերվերը թիրախավորելը։ Ընկերությունը նշել է, որ հարձակվողները պահպանել են մուտքը, խախտել են հրապատի հիմնական կառավարման սերվերը և գողացել են Active Directory հավատարմագրերը, ինչը կարող էր նրանց թույլ տալ մուտք գործել ցանցի ավելի մեծ հատված։ Այնուհետև հարձակվողները թվարկել են օգտատերերի հաշիվներն ու խմբերը, շատ հաշիվներում փորձել են տարածված գաղտնաբառեր, ինչպես նաև փորձել են ստեղծել գաղտնի մուտքի հաշիվներ և գողանալ ստորագրման բանալիներ, սակայն հետազոտողները չկարողացան հաստատել՝ այս լրացուցիչ հարձակումները հաջողվել են, թե ոչ։

AI ազդանշաններ և լայն արձագանք

Ընկերությունը նաև բացահայտել է արշավում AI-ի հնարավոր ներգրավվածություն, այդ թվում՝ Claude Code տեղադրումներ և հարձակողական անվտանգության գործիքներ, որոնք կարգավորված են չինական DeepSeek և Kimi մոդելներով։ Ընկերությունը գործողությունը չի վերագրել կոնկրետ սպառնալիքի դերակատարին, սակայն նշել է, որ կարծում է՝ արշավը Չինաստանի հետ կապված գործողության մաս է՝ լեզվական հուշումների, ժամանակային դրոշմների և աշխարհագրական թիրախավորման պատճառով։ CISA գործակալությունը հաստատել է ակտիվ շահագործումը և դաշնային գործակալություններին հրամայել իրականացնել մեղմացումը մինչև հոկտեմբերի 29-ը։ Cybernews հայտնել է, որ 32.5 միլիոն PHP ծառայություն դեռ աշխատում է խոցելի տարբերակներով, այդ թվում՝ 10.3 միլիոնը ԱՄՆ-ում, մինչդեռ Amazon ընկերությունը PHP շահագործման փորձեր է հայտնաբերել դեռ հոկտեմբերի 17-ին՝ հրապարակային բացահայտումից չորս օր առաջ, իսկ Cloudflare ընկերությունը հայտարարությունից հետո նկատել է միլիոնավոր հարձակման փորձեր։

Ավելի վաղ լուսաբանում՝ CISA գործակալությունը KEV կատալոգում ավելացրել է PHP2Shell հեռակա կոդի կատարման երկու խոցելիություն

Աղբյուրներ՝ Cybernews