Uzbrucēji PHP ievainojamības izmantoja jau dažas dienas pirms labojumu izlaišanas

Divas kritiskas ievainojamības PHP, plaši lietotā tīmekļa skriptu valodā, tika izmantotas jau pirms to labojumu publiskošanas trešdien. Tas izriet no Amazon Web Services (AWS), Amazon mākoņpakalpojumu nodaļas, trešdienas vakarā publicētā pētījuma. Ievainojamības kopā sauc par PHP2Shell, un šie dati rāda, ka steidzīgā ielāpu uzstādīšana internetā daļā gadījumu bija nokavēta.

Agrīnais mēģinājums

AWS analītiķi, pārskatot savu „medus podu” (tīši ievainojamu serveru, kas palīdz pētīt uzbrukumu metodes) žurnālus, konstatēja, ka pirmais izmantošanas mēģinājums datēts ar 17. oktobri. Tas nācis no IP adreses, kas saistīta ar komerciālu anonimizācijas tīklu, proti, starpniekserveru tīklu vai VPN.

AWS galvenais informācijas drošības vadītājs CJ Moses norādīja, ka mērķēšana uz medus podu no anonimizētas adreses liecina par uzbrucēju darbību laikā, kad ievainojamība vēl bija slēpta. Kā uzbrucējs ieguvis informāciju pirms publiskošanas, nav skaidrs.

Trešdienas notikumi

Trešdien pēc labojumu izlaišanas administratori un drošības speciālisti steidzās atrast un salabot neaizsargātās vietnes un lietotnes, bet uzbrucēji, analizējot labojumus, mācījās izmantot nepilnības. Atsevišķas valdības un organizācijas iepriekš pat izslēdza svarīgas vietnes, lai tās nekļūtu par mērķi pirms ielāpu uzstādīšanas.

Pirmie darbojošies izmantošanas koda piemēri publiski parādījās trešdien, daži vairākas stundas pirms atklāšanas pulksten 10 pēc ASV austrumu krasta laika. Pirms tam AWS medus podiem bija vairāki uzbrukuma mēģinājumi, izmantojot dažādus anonimizācijas pakalpojumus, kas, visticamāk, norāda uz vairākiem uzbrucējiem. Moses teica, ka tehniskā analīze turpinās un nav skaidrs, vai šie mēģinājumi reālās sistēmās būtu izdevušies, taču PHP2Shell tagad tiek plaši izmantota.

Mākslīgā intelekta ietekme

AWS uzskata, ka atklājums rāda — koordinētai ievainojamību atklāšanai jākļūst ātrākai, jo mākslīgā intelekta rīki paātrina analīzi un ļauj mazāk prasmīgiem uzbrucējiem ātri izstrādāt ļaunprātīgu kodu. Pēc Mosesa teiktā, agrāk uzbrukumi parasti sekoja publiski pieejamam koncepcijas pierādījumam, bet tagad vairāk uzbrucēju spēj rīkoties dažu stundu vai pat minūšu laikā pēc tehnisko detaļu atklāšanas.

PHP fonds uz WIRED komentāra lūgumu uzreiz neatbildēja.