ჩინეთთან დაკავშირებული ჰაკერები PHP2Shell-ით აშშ-ის სამთავრობო ქსელში შეიჭრნენ

Dream-ის ცნობით, ჩინეთთან სავარაუდოდ დაკავშირებულმა ჰაკერებმა PHP2Shell-ის ხარვეზები და Linux-ის ბირთვის დაუცველობა გამოიყენეს აშშ-ის სამთავრობო უწყებასთან დაკავშირებულ ქსელში შესაღწევად. კომპანიის თქმით, თავდამსხმელებმა ოთხ ქვეყანაში 19 000 ინტერნეტიდან ხელმისაწვდომი მოწყობილობა დაასკანირეს და შემდეგ 24 ფაირვოლი გატეხეს. შეღწევა 25 ოქტომბერს გამოვლინდა და აღწერილია როგორც PHP2Shell-ის პირველი დოკუმენტირებული შემთხვევა, როდესაც ის სრულფასოვანი სამთავრობო ქსელის გატეხვის ჯაჭვის ნაწილად იქცა.

როგორ განხორციელდა შეტევა

შეღწევას წინ უძღოდა ორი კრიტიკული PHP ხარვეზის გამჟღავნება, რომელთაგან თითოეულის სიმძიმე 9,2-ად შეფასდა და რომლებსაც ერთობლივად PHP2Shell უწოდეს. Dream-ის თქმით, თავდამსხმელებმა ორი PHP2Shell ხარვეზი, CVE-2026-109618 და CVE-2006109619, გააერთიანეს Fragnesia-ს სახელწოდებით ცნობილ Linux-ის ბირთვის დაუცველობასთან, CVE-2026046300, რათა ავთენტიფიკაციის გარეშე root-წვდომა მიეღოთ დაუცველ ფაირვოლებზე. Dream-ის პროდუქტისა და კიბერკვლევის ვიცე-პრეზიდენტმა კფირ ფლაიშერმა თქვა, რომ PHP2Shell-ის საიმედოდ ექსპლუატაცია რთულია, რადგან ის მოითხოვს ზუსტ, ვერსიაზე დამოკიდებულ მეხსიერების ოფსეტებს და უნივერსალური ექსპლუიტი არ არსებობს. მისი თქმით, თავდამსხმელს ის უნდა დაეკავშირებინა კიდევ ერთ ლოკალური პრივილეგიების ესკალაციის დაუცველობასთან, რის შედეგადაც მთლიანი შეტევა ორსაფეხურიან ჯაჭვად იქცა. Dream-ის თქმით, იდეალურ პირობებშიც კი მცდელობების მხოლოდ დაახლოებით 10% წარმატებული იყო, ხოლო წარუმატებლობების უმეტესობა დროის ამოწურვას უკავშირდებოდა.

მასშტაბი და სამიზნეები

Dream-ის მკვლევარებმა ოპერაცია აღადგინეს კომპანიის შიდა AI კვლევითი სისტემის, Hero-ს, გამოყენებით მას შემდეგ, რაც მოიძიეს თავდამსხმელთა ლოგები, ექსპლუატაციის ხელსაწყოები და დაახლოებით 40 პოსტექსპლუატაციის სკრიპტი. თავდამსხმელებმა გამოავლინეს 19 000 ინტერნეტიდან ხელმისაწვდომი ფაირვოლი და სამიზნე 240 დაუცველ მოწყობილობამდე შეამცირეს აშშ-ში, იაპონიაში, ტაივანსა და სამხრეთ კორეაში. მათ წარმატებით გატეხეს 24 ფაირვოლი, სანამ სამიზნედ აირჩევდნენ აშშ-ის სამთავრობო უწყებასთან დაკავშირებული დაუსახელებელი ორგანიზაციის შიდა მართვის სერვერს. Dream-ის თქმით, თავდამსხმელებმა წვდომა შეინარჩუნეს, გატეხეს ფაირვოლების მართვის მთავარი სერვერი და მოიპარეს Active Directory-ის ავტორიზაციის მონაცემები, რაც მათ ქსელის უფრო დიდ ნაწილზე წვდომის საშუალებას მისცემდა. შემდეგ თავდამსხმელებმა ჩამოთვალეს მომხმარებლის ანგარიშები და ჯგუფები, მრავალ ანგარიშზე გამოსცადეს გავრცელებული პაროლები და შეეცადნენ საიდუმლო წვდომის ანგარიშების შექმნასა და ხელმოწერის გასაღებების მოპარვას, თუმცა მკვლევარებმა ვერ დაადგინეს, წარმატებული იყო თუ არა ეს დამატებითი შეტევები.

AI-ის ნიშნები და ფართო რეაგირება

Dream-მა ასევე დაადგინა კამპანიაში AI-ის შესაძლო ჩართულობა, მათ შორის Claude Code-ის დაყენება და ჩინური მოდელებით, DeepSeek-ითა და Kimi-ით, კონფიგურირებული შეტევითი უსაფრთხოების ხელსაწყოები. კომპანიას აქტივობა კონკრეტულ საფრთხის აქტორს არ მიუწერია, თუმცა მიაჩნია, რომ კამპანია ჩინეთთან დაკავშირებული ოპერაციის ნაწილია, რასაც მიუთითებს პრომპტების ენა, დროის ნიშნები და გეოგრაფიული სამიზნეები. CISA-მ დაადასტურა აქტიური ექსპლუატაცია და ფედერალურ უწყებებს დაავალა, 29 ოქტომბრამდე შემარბილებელი ზომები განეხორციელებინათ. Cybernews-ის ცნობით, 32,5 მილიონი PHP სერვისი კვლავ მოწყვლად ვერსიებს იყენებს, მათ შორის 10,3 მილიონი აშშ-ში, ხოლო Amazon-მა PHP-ის ექსპლუატაციის მცდელობები ჯერ კიდევ 17 ოქტომბერს გამოავლინა, საჯარო გამჟღავნებამდე ოთხი დღით ადრე, და Cloudflare-მა გამოცხადების შემდეგ მილიონობით შეტევის მცდელობა დააფიქსირა.

ადრინდელი გაშუქება: CISA-მ KEV კატალოგს ორ PHP2Shell RCE ხარვეზს ამატებს

წყაროები: Cybernews