AWS обнаружил эксплуатацию уязвимостей PHP2Shell за несколько дней до публичного выпуска патча

Исследователи Amazon Web Services (AWS) обнаружили, что злоумышленник начал сканировать ловушку (honeypot) на наличие уязвимостей PHP2Shell 17 октября, за четыре дня до публичного раскрытия и исправления уязвимостей в среду. Попытка исходила с IP-адреса, связанного с коммерческой сетью анонимизации, что указывает на использование прокси или VPN.

Главный специалист по информационной безопасности AWS Си Джей Мозес заявил, что активность произошла, пока уязвимости находились под эмбарго, и что метод получения злоумышленником информации об эксплойтах до раскрытия остаётся неясным. Он добавил, что несколько анонимных IP-адресов нацеливались на ловушки в часы, предшествующие публичному объявлению, что свидетельствует о наличии нескольких возможных атакующих.

"Пока уязвимость находилась под эмбарго, целенаправленное воздействие на ловушку с анонимного IP-адреса предполагает, что действие было выполнено злоумышленником, хотя остаётся неясным, как он получил информацию об эксплойте до раскрытия," — написал Мозес.

"Технический анализ продолжается, и пока не ясно, удалось бы каким-либо из этих попыток успешно применить в реальных системах," — сказал он, отметив, что "PHP2Shell теперь широко эксплуатируется в дикой природе."

Эксплойты-прототипы для PHP2Shell появились публично в день выпуска патча, некоторые из них возникли за несколько часов до официального раскрытия в 10 ч. по восточному времени. AWS подчеркнул, что ускоренный переход от патча к работающему эксплойту обусловлен анализом с помощью ИИ, что сокращает время, необходимое менее опытным актёрам для разработки функциональных эксплойтов.

"Время от выпуска патча до появления работающего эксплойта сокращается по структурным причинам," — объяснил Мозес. "Анализ с поддержкой ИИ делает дешевле превращение патч-диффа или рекомендаций в работающий эксплойт. В результате больше актёров могут действовать в течение часов или даже минут после раскрытия технических деталей уязвимости."

Фонд PHP не ответил на запросы о комментариях.