Amazon: Các cuộc tấn công PHP2Shell bắt đầu bốn ngày trước khi có bản vá, hiện được khai thác rộng rãi

Báo cáo đầy đủ

Nhóm tình báo mối đe dọa của Amazon đã tiết lộ trong một bài đăng trên blog bảo mật vào ngày 22 tháng 10 rằng mạng honeypot MadPot của họ đã ghi lại nỗ lực khai thác PHP2Shell đầu tiên vào ngày 17 tháng 10, trong khi các lỗ hổng vẫn đang bị cấm vận (phát hành công khai là 14:00 UTC ngày 21 tháng 10). Nỗ lực này đến từ một địa chỉ IP được gắn với mạng ẩn danh thương mại. CJ Moses, giám đốc an ninh thông tin của Amazon cho biết: “Vẫn chưa rõ bằng cách nào mà kẻ tấn công có được thông tin khai thác trước khi tiết lộ”.

Vào ngày 21 tháng 10, Amazon đã chứng kiến ​​nhiều lần khai thác bằng chứng khái niệm, sớm nhất là khoảng 12 giờ trước khi phát hành bản vá. Tải trọng và cơ sở hạ tầng ẩn danh rất đa dạng, gợi ý một số tác nhân riêng biệt. Trong vòng vài giờ sau khi gửi bản vá, các lỗ hổng mới đã được kích hoạt trên các cảm biến của Amazon. Amazon hiện mô tả PHP2Shell là "đang bị khai thác rộng rãi" và những nỗ lực mà Cloudflare nhìn thấy đã lên tới hàng triệu.

Cùng ngày, Dataminr cho biết hoạt động được quan sát vẫn chỉ giới hạn ở việc quét, lấy dấu vân tay và các hoạt động khai thác không hoạt động, không có sự thỏa hiệp nào được biết đến - nhưng các hoạt động khai thác hoạt động chỉ là vấn đề thời gian.

Nền

Các lỗ hổng ảnh hưởng đến mọi bản phát hành PHP 7.x và 8.x và được phát hiện bởi các nhà nghiên cứu từ Calif, OpenAI và Wiz thuộc sở hữu của Google. Mã lỗi đã tồn tại trong PHP trong nhiều năm cho đến khi cuộc kiểm tra tháng 8 do OpenAI tài trợ đã sử dụng mô hình AI để cho thấy nó thực sự có thể khai thác được - nguồn gốc của tên "PHP2Shell". Các bản phát hành cố định: PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Lời khuyên của Amazon: nâng cấp PHP là cách khắc phục hoàn chỉnh duy nhất; cuộc điều tra sẽ bắt đầu từ ngày 17 tháng 10; những hệ thống chưa thể vá lỗi có thể cân nhắc việc chặn tải lên tệp nhiều phần sau khi kiểm tra những gì bị hỏng.