Предполагаемые китайские злоумышленники использовали связку эксплойта PHP2Shell с эксплойтом для повышения привилегий в ядре Linux, чтобы получить root-доступ к 25 серверам, включая межсетевые экраны Palo Alto Networks, связанные с организациями, аффилированными с правительством США, согласно исследователям Dream.
Шпионы начали использовать эти серверы 23 октября, нацеливаясь на организации в США, Японии, Тайване и Южной Корее. Злоумышленники также сосредоточились на межсетевых экранах, связанных с правительством США.
«В течение нескольких часов после компрометации межсетевого экрана, связанного с правительством США, они проникли во внутреннюю сеть, скомпрометировали третий сервер, используя тот же эксплойт PHP2Shell, и запустили полномасштабную кампанию атаки на Active Directory — и все это через цепочку, которая началась с одного неаутентифицированного HTTPS-запроса к интерфейсу управления, который никогда не должен был быть доступен из Интернета», — говорится в отчете израильского стартапа в области кибербезопасности Dream.
Кроме того, злоумышленники «вероятно, все еще» имеют постоянный удаленный доступ к сетям скомпрометированных организаций, отметили в Dream.
Злоумышленники получили root-доступ к первому межсетевому экрану, связанному с правительством США, 23 октября, но устройство вскоре после этого вышло из строя, возможно, из-за примерно 900 МБ трафика эксплойта. По данным Dream, оно оставалось неотзывчивым, несмотря на 240 автоматических проверок в течение двух часов. Второй межсетевой экран им удалось скомпрометировать на следующий день, 24 октября.
На скомпрометированных межсетевых экранах работали уязвимые версии PAN-OS от Palo Alto Networks. Dream сообщила, что сотрудничала с поставщиком для расследования компрометаций, а исследователи Unit 42 компании Palo Alto Networks независимо подтвердили инструментарий злоумышленников и результаты, сообщенные Dream.
Чтобы проникнуть в межсетевые экраны, злоумышленники создали пользовательскую цепочку эксплойтов, включающую PHP2Shell и уязвимость ядра Fragnesia, и запустили около 40 пользовательских скриптов постэксплуатации после проникновения в целевые организации.
Полная цепочка атаки менее чем за 15 минут
PHP2Shell, состоящий из CVE-2026-109618 и CVE-2026-109619, стал известен в начале прошлой недели, наряду с опасениями, что злоумышленники будут злоупотреблять этими уязвимостями для вывода из строя большей части Интернета. Несмотря на «сотни» репозиториев proof-of-concept PHP2Shell на GitHub, первые сообщения об успешных атаках появились только в субботу.
Обе уязвимости имеют оценки CVSS 9.2 и могут быть использованы без аутентификации для выполнения кода на уязвимых PHP-серверах.
Эксплойт PHP2Shell, обнаруженный Dream, не был копией какого-либо известного публичного эксплойта. Исследователи написали, что он «похоже, был разработан независимо и специально адаптирован для целевой платформы межсетевого экрана».
Злоумышленники объединили PHP2Shell с Fragnesia (CVE-2026-46300), уязвимостью локального повышения привилегий высокой степени опасности, затрагивающей подсистему XFRM ESP-in-TCP ядра Linux. Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило эту уязвимость ядра Linux в свой каталог известных эксплуатируемых уязвимостей в среду.
И CISA, и ФБР отказались от комментариев.
Злоумышленники разработали четырехэтапный эксплойт PHP2Shell, который позволил им выполнять команды без аутентификации на уязвимых межсетевых экранах Palo Alto Networks. Затем они использовали Fragnesia для повышения своих привилегий и получения root-доступа. Злоумышленники нацелились на PAN-OS 12.1 и 12.2, на которых работает PHP 8.0.30 с высоким лимитом памяти, что позволило выполнить этапы эксплуатации с повреждением памяти.
«Полная цепочка — от неаутентифицированного HTTPS-соединения до постоянного веб-шелла с root-правами — завершается менее чем за 15 минут», — написала команда Dream.
4 шага к root-доступу
Вот как это работает: сначала они перегружают серверы специально созданными многокомпонентными POST-запросами для повреждения памяти PHP и создания предсказуемой структуры памяти.
Затем второй запрос подделывает длину устаревшего идентификатора сеанса из части атаки с повреждением памяти, вызывая чтение за пределами допустимых границ и раскрывая базовый адрес libphp.so в работающем процессе.
Затем злоумышленники снова исчерпывают память PHP, чтобы принудительно установить mod_data=NULL, создавая устаревшую ссылку, которую они могут подделать на последнем этапе для выполнения команд от имени пользователя nobody. Они используют Fragnesia для повышения привилегий до root и внедрения веб-шелла в общедоступный каталог на межсетевом экране.
После проникновения через скомпрометированные межсетевые экраны злоумышленники исследовали Active Directory, похищая учетные данные и другую конфиденциальную информацию. Имея root-доступ, злоумышленники также получили мастер-ключ для расшифровки пароля учетной записи службы LDAP, который они жестко закодировали во всех последующих скриптах.
Они также перечислили всех пользователей и группы в домене с помощью LDAP-запросов и выполнили перебор паролей для всех учетных записей пользователей. Злоумышленники также пытались создать резервные учетные записи AD и пытались извлечь ключ подписи SAML, но Dream не знает, были ли эти попытки успешными.
«Результаты атаки — были ли при переборе паролей найдены действительные учетные данные, были ли созданы резервные учетные записи, были ли извлечены ключи SAML — остались в локальной файловой системе сервера управления и не были среди артефактов, которые мы обнаружили», — отметили исследователи.
Инструменты ИИ в атаке
Расследование также выявило доказательства использования злоумышленниками инструментов ИИ, но отмечается, что это не была полностью автономная атака.
Исследователи обнаружили установленный Claude Code от Anthropic, платформу для наступательной безопасности на базе ИИ под названием aiscan, настроенную с китайскими моделями DeepSeek и Kimi, а также API-ключи для сервиса разведки FOFA. FOFA — это китайская поисковая система интернет-активов, аналогичная Shodan. Злоумышленники использовали ее для идентификации около 19 000 межсетевых экранов Palo Alto Networks, доступных из Интернета по всему миру.
«Постоянный туннель в организацию правительства США, вероятно, все еще активен», — предупредили в Dream. «И у злоумышленника все еще есть 19 000 идентифицированных целей, которые он может посетить повторно по мере разработки профилей для дополнительных версий PAN-OS».®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
