Исследователи в области кибербезопасности раскрыли подробности атаки с использованием искусственного интеллекта (ИИ), предположительно организованной связанной с Китаем группой злоумышленников. Атака использовала уязвимости PHP2Shell для взлома уязвимых систем. Активность, зафиксированная 25 октября 2026 года, включала в себя комбинацию PHP2Shell с эксплойтом для повышения привилегий в ядре, что позволило получить контроль над 25 серверами, в том числе тремя в среде, связанной с правительством США.
«Затронутые устройства работают под управлением специфических версий программного обеспечения межсетевого экрана крупного поставщика», — сообщила фирма кибербезопасности Dream. «Затем злоумышленник начал атаки на Active Directory. Обнаруженные артефакты подтверждают извлечение учетных данных и перечисление каталогов».
Название затронутого поставщика не раскрывается, но израильская компания заявила, что уведомила его. Цепочка атаки объединяет две группы уязвимостей, затрагивающих PHP и ядро Linux.
«Реализация, которую мы обнаружили, представляет собой пользовательскую, непубличную сборку, а не копию какого-либо известного публичного эксплойта для PHP2Shell», — пояснили исследователи Dream. «Она основана на той же концепции, но, по-видимому, была разработана независимо и специально адаптирована для целевой платформы межсетевого экрана».
«Уязвимость нацелена на механизм session.upload_progress в PHP на управляющем сервере приложения межсетевого экрана. Операционная система межсетевого экрана использует PHP 8.0.30 с высоким лимитом памяти, что позволяет осуществлять этапы атаки, связанные с повреждением памяти».
Сообщается, что пользовательская модификация цепочки эксплойтов PHP2Shell в сочетании с CVE-2026-46300 позволила получить контроль над 25 серверами в США, Японии, Тайване и Южной Корее.
Артефакты, обнаруженные Dream, указывают на то, что операция началась с разработки эксплойта в лабораторной среде, прежде чем получить постоянный доступ к внутреннему домену Active Directory организации правительства США.
«После получения контроля злоумышленник сосредоточился на трех конкретных серверах в среде, связанной с правительством США», — отметили в компании.
Связь с инструментами на базе ИИ обусловлена доказательствами установки Claude Code от Anthropic в инфраструктуре атаки, а также наличием API-ключей для FOFA и платформы для наступательной безопасности на базе ИИ под названием aiscan, настроенной с большими языковыми моделями (LLM) от DeepSeek и Kimi.
Более того, структура кода, стиль комментирования и единообразие почти 40 скриптов предполагают использование ИИ для улучшения процесса разработки. Вся операция, по данным Dream, разворачивается следующим образом:
Неясно, позволила ли эта активность злоумышленнику успешно найти действительные учетные данные или создать скрытые учетные записи. В результате полный масштаб компрометации остается неопределенным.
«Поскольку США, Япония, Тайвань и Южная Корея являются четырьмя основными стратегическими противниками и разведывательными целями для киберопераций, связанных с китайским государством, в Тихоокеанском регионе, это указывает на потенциальные усилия противника на государственном уровне», — заявили в Dream.
«Операция демонстрирует, как открытый интерфейс управления может стать путем к инфраструктуре идентификации организации. Остальные 22 взломанных межсетевых экрана остаются с активными веб-оболочками. Постоянный туннель в организацию правительства США, вероятно, все еще активен. И у злоумышленника остается 19 000 отсканированных целей, которые он может посетить повторно по мере разработки профилей для дополнительных версий ОС».
Раскрытие информации происходит на фоне ограниченного использования уязвимостей PHP2Shell в реальных атаках, поскольку злоумышленники отмечают трудности в преобразовании proof-of-concept (PoC) в надежный вектор атаки против реальных целей, несмотря на их интеграцию в свои кампании.
«На практике это неэксплуатируемый мусор. Чтобы атаковать реальные цели, вам нужны смещения из libphp.so, которые уникальны для каждой сборки и не поддаются брутфорсу. Вы можете воспроизвести это на своем собственном тестовом стенде или если у вас уже есть доступ к файловой системе цели», — сказал член форума XSS под ником c0d3x, согласно Flare.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
