Хакеры начали атаковать уязвимости PHP2Shell в PHP за четыре дня до патча

В среду разработчики PHP выпустили исправления для двух критических уязвимостей, известных под общим названием PHP2Shell. PHP, широко используемый язык веб-сценариев. Администраторы и специалисты по безопасности бросились искать и закрывать уязвимые сайты и приложения, а атакующие, как пишет WIRED, неизбежно разбирали исправления, чтобы понять, как эксплуатировать ошибки. Некоторые правительства и другие организации даже заранее отключили ключевые сайты в ожидании выхода патчей, чтобы их не атаковали до установки обновлений.

Но исследование Amazon Web Services, опубликованное в среду вечером, показывает, что кто-то начал пытаться эксплуатировать эти уязвимости ещё 17 октября, то есть за четыре дня до публичного раскрытия. Аналитики AWS обнаружили эту попытку в среду, когда просматривали прошлую активность на одной из своих приманок (honeypot), намеренно уязвимых серверов, которые помогают исследователям изучать методы и тренды атак. Запрос пришёл с IP-адреса, связанного, по словам AWS, с «коммерческой сетью анонимизации», то есть с прокси-сетью или VPN.

Директор по информационной безопасности AWS CJ Moses написал в исследовании: пока уязвимость была под эмбарго, атака на приманку с анонимизированного адреса говорит о том, что активность вела злоумышленник, хотя остаётся неясным, как он получил сведения об эксплойте до раскрытия.

Публичные демонстрационные эксплойты (proof-of-concept) для PHP2Shell стали появляться в среду, причём некоторые, судя по всему, за несколько часов до раскрытия в 10 утра по восточному времени США. В часы перед раскрытием приманки AWS получили несколько попыток эксплуатации, анонимизированных через разных провайдеров и, по-видимому, с разными целями; это, вероятно, указывает на нескольких разных злоумышленников. Moses написал, что технический анализ продолжается и неясно, удались бы эти попытки в реальных системах, а также что «PHP2Shell сейчас массово эксплуатируется в открытой среде».

Исполнительный директор PHP Foundation Elizabeth Barron сообщила WIRED, что фонд не знал об исследовании AWS до публикации и сразу не смог его прокомментировать. Она добавила: «Хотя мы согласны, что обновление абсолютно необходимо, насколько нам известно, ни одной успешной попытки удалённого выполнения кода не было».

AWS подчёркивает, что находки показывают: скоординированное раскрытие уязвимостей должно развиваться и ускоряться, потому что по всему миру доступны ИИ-инструменты, ускоряющие анализ уязвимостей и позволяющие менее технически подготовленным участникам быстро создавать эксплойты. По словам Moses, раньше эксплуатация в основном начиналась после публикации открытого proof-of-concept: небольшое число умелых специалистов писали эксплойты, а остальные ждали. Эта зависимость слабеет: ИИ-анализ удешевляет превращение разницы в патче или бюллетеня в рабочий эксплойт, и больше участников может действовать через часы или даже минуты после раскрытия технических деталей.

Ключевые факты

AWS нашла в логах своей приманки (honeypot) попытку эксплуатации PHP2Shell от 17 октября, за четыре дня до публичного раскрытия и выхода патчей.
Попытка пришла с адреса «коммерческой сети анонимизации» (прокси или VPN); как злоумышленник узнал об уязвимости до раскрытия, неясно.
В часы перед раскрытием приманки AWS получили несколько попыток атак через разных провайдеров и с разными целями, вероятно, от нескольких разных злоумышленников.
PHP Foundation согласна, что обновляться необходимо, но по её данным успешных попыток удалённого выполнения кода не было; AWS также говорит, что неясно, удались бы попытки в реальных системах.
AWS связывает ускорение атак с ИИ-анализом патчей и призывает ускорить скоординированное раскрытие уязвимостей.

Почему это важно

Обычно считается, что у защитников есть окно между выходом патча и появлением эксплойтов. Данные AWS говорят, что в случае PHP2Shell кто-то пытался атаковать уязвимости ещё до публичного раскрытия, пока действовало эмбарго. Это ставит вопрос о том, насколько надёжна схема скоординированного раскрытия, и о том, как был получен доступ к сведениям об уязвимостях, AWS признаёт, что источник информации у злоумышленника неясен. PHP, широко используемый язык веб-сценариев, поэтому тема касается большого числа сайтов.

Кому это важно

Администраторам и командам безопасности, отвечающим за сайты и приложения на PHP: по словам AWS, PHP2Shell сейчас массово эксплуатируется в открытой среде. Также это важно тем, кто управляет процессами раскрытия уязвимостей и выпуска патчей, и исследователям, использующим приманки для наблюдения за атаками.

Как это применить

И AWS, и PHP Foundation сходятся в том, что обновление необходимо; Elizabeth Barron назвала его «абсолютно необходимым». Практический вывод из источника, не откладывать установку исправлений для PHP2Shell: по оценке AWS, при раскрытии технических деталей действовать могут уже через часы или даже минуты. Конкретные версии PHP и номера уязвимостей в источнике не названы, их нужно смотреть в официальных сообщениях о патче.

Можно ли доверять

Материал опубликован WIRED со ссылкой на исследование AWS; основные факты (дата 17 октября, адрес из сети анонимизации, множественные попытки перед раскрытием) исходят от самой AWS и её специалиста по безопасности CJ Moses. Сама AWS оговаривает, что технический анализ продолжается и неясно, удались бы попытки в реальных системах. PHP Foundation исследование заранее не видела, а сразу после публикации комментария по существу не дала; в статью позже добавлен её комментарий. Утверждения об ИИ, общий вывод AWS о сокращении времени от патча до эксплойта, а не доказанный факт об этой конкретной атаке.

Риски и подводные камни

Источник пока не говорит, кто стоял за попыткой 17 октября и как злоумышленник получил информацию до раскрытия, поэтому делать выводы об утечке нельзя. Не подтверждено, что какая-либо атака привела к реальному взлому: PHP Foundation сообщает, что ей неизвестно об успешном удалённом выполнении кода, а AWS говорит, что оценить успешность попыток пока нельзя. Сайты, которые не успели обновиться, остаются под риском: по словам AWS, PHP2Shell уже массово эксплуатируется. Кроме того, анонимизированный адрес источника затрудняет установление исполнителя.

«Время от патча до рабочего эксплойта сокращается по структурным причинам.»

— CJ Moses, директор по информационной безопасности AWS