Хакери, пов’язані з Китаєм, використовують PHP2Shell для проникнення в мережу уряду США

Підозрювані хакери, пов’язані з Китаєм, використали вразливості PHP2Shell і вразливість ядра Linux для проникнення в мережу, пов’язану з урядом США, повідомляє Dream. Фірма заявила, що зловмисники скомпрометували 24 брандмауери після сканування 19,000 пристроїв, доступних з інтернету, у чотирьох країнах. Проникнення виявили 25 жовтня, і його описують як перший задокументований випадок використання ланцюжка PHP2Shell для повного проникнення в урядову мережу.

Як відбулася атака

Проникнення сталося після оприлюднення двох критичних вразливостей PHP, кожна з яких має оцінку серйозності 9.2 і які разом назвали PHP2Shell. Dream повідомила, що зловмисники поєднали дві вразливості PHP2Shell, CVE-2026-109618 і CVE-2006109619, з вразливістю ядра Linux під назвою Fragnesia, CVE-2026046300, щоб без автентифікації отримати root-доступ до вразливих брандмауерів. Kfir Fleischer, віцепрезидент Dream із продукту та кібердосліджень, сказав, що PHP2Shell складно надійно експлуатувати, бо це потребує точних зсувів пам’яті для конкретних версій і не існує універсального експлойту. Він сказав, що зловмисник мав поєднати її з додатковою вразливістю підвищення привілеїв на локальному рівні, що зробило загальну атаку двоетапним ланцюжком. Dream заявила, що навіть за ідеальних умов успішними були лише близько 10% спроб, а більшість невдач була тайм-аутами.

Масштаб і цілі

Дослідники Dream відтворили операцію за допомогою внутрішньої системи штучного інтелекту Hero після відновлення журналів зловмисників, інструментів експлуатації та приблизно 40 скриптів після експлуатації. Зловмисники виявили 19,000 брандмауерів, доступних з інтернету, і звузили ціль до 240 вразливих пристроїв у Сполучених Штатах, Японії, Тайвані та Південній Кореї. Вони успішно скомпрометували 24 брандмауери, перш ніж націлитися на внутрішній сервер керування, що належав безіменній організації, пов’язаній з урядом США. Dream повідомила, що зловмисники зберегли доступ, зламали головний сервер керування брандмауерами і викрали облікові дані Active Directory, що могло дозволити їм отримати доступ до більшої частини мережі. Згодом зловмисники перелічили облікові записи користувачів і групи, спробували поширені паролі для багатьох облікових записів і спробували створити таємні облікові записи доступу та викрасти ключі підпису, але дослідники не змогли встановити, чи ці додаткові атаки були успішними.

Сигнали ШІ та ширша відповідь

Dream також виявила можливу участь штучного інтелекту в кампанії, зокрема встановлення Claude Code і засобів наступальної кібербезпеки, налаштованих із використанням китайських моделей DeepSeek і Kimi. Компанія не приписала діяльність конкретному актору загроз, але заявила, що вважає кампанію частиною операції, пов’язаної з Китаєм, через мовні підказки, часові позначки та географічне націлювання. CISA підтвердила активну експлуатацію і наказала федеральним агентствам впровадити заходи пом’якшення до 29 жовтня. Cybernews повідомило, що 32.5 мільйона служб PHP досі працюють на вразливих версіях, зокрема 10.3 мільйона в США, тоді як Amazon виявив спроби експлуатації PHP ще 17 жовтня, за чотири дні до публічного оприлюднення, а Cloudflare спостерігав мільйони спроб атак після оголошення.

Попереднє висвітлення: CISA додає дві вразливості RCE PHP2Shell до каталогу KEV

Джерела: Cybernews