Хакеры атаковали критическую уязвимость PHP за четыре дня до её раскрытия

В среду вышли исправления для двух критических уязвимостей в PHP. Как только патчи стали общедоступны, специалисты принялись экстренно искать уязвимые сайты и приложения, а злоумышленники, разумеется, тут же занялись обратной разработкой исправлений, чтобы понять, как именно можно эксплуатировать дыры. Некоторые правительства и организации даже пошли на беспрецедентный шаг — заранее отключили ключевые сайты, чтобы те не попали под удар до установки заплаток.

Но самое интересное всплыло позже. Исследование, опубликованное вечером в среду компанией Amazon Web Services, показало: как минимум один злоумышленник пытался использовать эти уязвимости, получившие общее название PHP2Shell, ещё 17 октября — за четыре дня до того, как о них стало известно публично. Аналитики AWS обнаружили эту попытку, изучая логи одного из своих ханипотов — намеренно уязвимых серверов-приманок, которые помогают исследователям отслеживать методы и тренды атак. Запрос пришёл с IP-адреса, который, по данным AWS, связан с «коммерческой сетью анонимизации», проще говоря — с прокси или VPN.

«Хотя уязвимость находилась под эмбарго, атака на ханипот с анонимизированного IP-адреса говорит о том, что действовал злоумышленник, — написал в исследовательском посте главный директор по информационной безопасности AWS Си-Джей Мозес. — Правда, остаётся неясным, как именно он получил информацию об эксплойте до раскрытия».

Исполнительный директор PHP Foundation Элизабет Бэррон рассказала изданию WIRED, что организация не знала об исследовании AWS до его публикации и не смогла оперативно прокомментировать выводы. При этом она подчеркнула: «Хотя мы согласны, что обновляться абсолютно необходимо, по нашим данным, успешных попыток удалённого выполнения кода не было».

Публичные proof-of-concept эксплойты для PHP2Shell начали появляться в среду, причём некоторые, судя по всему, возникли за несколько часов до официального раскрытия информации в 10 утра по восточному времени США. В преддверии анонса ханипоты AWS, по словам исследователей, подверглись множеству попыток эксплуатации, анонимизированных через разных провайдеров и, судя по всему, с разными целями — что указывает на нескольких разных злоумышленников. «Технический анализ продолжается, и пока неясно, увенчалась бы хоть одна из этих попыток успехом в реальных системах», — отметил Мозес. И добавил: «Сейчас PHP2Shell широко эксплуатируется по всему интернету».

Хотя остаётся загадкой, как и откуда произошла атака 17 октября, в AWS подчёркивают: эти находки наглядно показывают, что практика скоординированного раскрытия уязвимостей должна меняться и ускоряться. Причина — глобальный доступ к инструментам искусственного интеллекта, которые ускоряют анализ уязвимостей и позволяют даже не самым технически подкованным злоумышленникам быстро создавать новые эксплойты.

«Время от патча до работающего эксплойта сокращается по структурным причинам, — пишет Мозес. — Раньше большинство атак, которые мы наблюдали, происходило после публикации proof-of-concept. Небольшое число квалифицированных специалистов создавало эксплойты, а все остальные ждали. Эта зависимость слабеет. Анализ с помощью ИИ удешевляет превращение патча или рекомендации в рабочий эксплойт. В результате всё больше игроков могут действовать в течение часов или даже минут после раскрытия технических деталей уязвимости».