A internet está louca luta na quarta-feira para consertar um par de vulnerabilidades críticas em PHPuma linguagem de script da web amplamente usada, já era tarde demais para impedir todos os ataques, revelam detalhes recém-divulgados.
O lançamento de correções na quarta-feira para duas vulnerabilidades críticas em PHP fez com que os administradores e a equipe de segurança corressem para identificar e corrigir sites e aplicativos vulneráveis, enquanto os invasores inevitavelmente faziam a engenharia reversa das correções para aprender como explorar as falhas. Alguns governos e outros grupos até retiraram proativamente sites importantes do ar em antecipação ao lançamento, para que não fossem atacados antes de poderem aplicar os patches.
Mas além de detectar essa exploração ativa na quarta-feira, pesquisar publicado na noite de quarta-feira por Amazon Web Services indica que pelo menos um ator começou a tentar explorar os bugs – conhecidos coletivamente como PHP2Shell – em 17 de outubro, quatro dias antes das revelações públicas de quarta-feira.
Os analistas da AWS detectaram a exploração de 17 de outubro na quarta-feira, enquanto analisavam a atividade em um de seus chamados honeypots, ou servidores web intencionalmente vulneráveis ou outras iscas digitais que ajudam os pesquisadores a estudar métodos e tendências de ataque. A tentativa veio de um endereço IP que a AWS afirma estar vinculado a uma “rede comercial de anonimato”, ou seja, uma rede proxy ou VPN.
“Embora a vulnerabilidade estivesse sob embargo, o ataque a um honeypot a partir de um endereço IP anônimo sugere que a atividade foi conduzida por um ator de ameaça, embora ainda não esteja claro como o ator adquiriu informações de exploração antes da divulgação”, escreveu CJ Moses, diretor de segurança da informação da AWS, no post de pesquisa.
Explorações de prova de conceito para PHP2Shell começaram a surgir publicamente na quarta-feira, com algumas parecendo aparecer horas antes da divulgação pública às 10h ET. Nas horas que antecederam a divulgação, os pesquisadores da AWS dizem que seus honeypots foram atingidos por múltiplas tentativas de exploração anonimizadas usando vários provedores e aparentemente com vários objetivos de ataque, provavelmente indicando vários atores diferentes. “A análise técnica está em andamento e não está claro se alguma dessas tentativas teria tido sucesso em sistemas do mundo real”, escreveu Moses. Ele acrescentou que “o PHP2Shell agora está sendo amplamente explorado”.
A PHP Foundation não respondeu imediatamente ao pedido de comentários da WIRED.
Embora não esteja claro como ocorreu a exploração de 17 de outubro ou de onde veio, a AWS enfatiza que as descobertas ressaltam como a divulgação coordenada de vulnerabilidades deve evoluir e acelerar, dado o acesso global a ferramentas de IA que podem acelerar a análise de vulnerabilidades e permitir atores menos proficientes tecnicamente para desenvolver rapidamente novas explorações.
“O tempo entre o patch e a exploração funcional está diminuindo por razões estruturais”, escreveu Moses. “No passado, a maior parte da exploração que observamos ocorreu depois que uma prova pública de conceito foi lançada. Um pequeno número de atores capazes construíram explorações, e todos os outros esperaram por eles. Essa dependência está enfraquecendo. A análise assistida por IA torna mais barato transformar uma comparação de patch ou aviso em uma exploração funcional. Como resultado, mais atores podem agir dentro de horas ou até minutos, uma vez que os detalhes técnicos de uma vulnerabilidade são divulgados.”
Compartilhe esta publicação
Ajude a levar esta informação adiante — publique no seu perfil.