مهاجمان مظنون چینی یک اکسپلویت سفارشی PHP2Shell ساختند و 25 سرور را روت کردند

به گفته محققان Dream، مهاجمان مظنون چینی PHP2Shell را با بهره‌برداری از امتیاز افزایش امتیاز هسته لینوکس برای روت کردن 25 سرور، از جمله فایروال‌های Palo Alto Networks مرتبط با سازمان‌های وابسته به دولت ایالات متحده، زنجیره‌ای کردند.

جاسوسان از 23 اکتبر شروع به بهره برداری از این سرورها کردند و سازمان هایی را در سراسر ایالات متحده، ژاپن، تایوان و کره جنوبی هدف قرار دادند. مهاجمان همچنین فایروال های وابسته به دولت ایالات متحده را تقویت کردند.

«در عرض چند ساعت پس از به خطر انداختن فایروال وابسته به دولت ایالات متحده، آنها به شبکه داخلی تونل زدند، سرور سومی را با استفاده از همان اکسپلویت PHP2Shell به خطر انداختند و یک کمپین حمله کامل Active Directory را راه اندازی کردند - همه از طریق زنجیره ای که با یک درخواست HTTPS احراز هویت نشده شروع شد به یک رابط مدیریتی که اسرائیل هرگز نباید از اینترنت استفاده می کرد. یک گزارش

دریم خاطرنشان کرد، به علاوه، مهاجمان «احتمالا هنوز» دسترسی دائمی و از راه دور به شبکه‌های سازمان‌های در معرض خطر دارند.

مهاجمان اولین فایروال وابسته به دولت ایالات متحده را در 23 اکتبر روت کردند، اما دستگاه اندکی بعد از کار افتاد، احتمالا به دلیل حدود 900 مگابایت ترافیک اکسپلویت. به گفته Dream، علیرغم 240 بررسی خودکار در طول دو ساعت، پاسخگو نبود. آنها یک روز بعد، در 24 اکتبر، فایروال دوم را با موفقیت مورد بهره برداری قرار دادند.

فایروال های به خطر افتاده نسخه های آسیب پذیر PAN-OS شبکه های Palo Alto را اجرا می کردند. Dream گفت که با فروشنده برای بررسی مصالحه کار کرده است و محققان واحد 42 شبکه Palo Alto به طور مستقل ابزار مهاجم را تأیید کرده و نتایج گزارش شده Dream را تأیید کردند.

مهاجمان برای نفوذ به دیوارهای آتش، یک زنجیره اکسپلویت سفارشی ایجاد کردند که شامل PHP2Shell و نقص هسته Fragnesia است و حدود 40 اسکریپت سفارشی پس از بهره برداری را هنگامی که در سازمان های هدف قرار گرفتند اجرا کردند.

کل زنجیره حمله در کمتر از 15 دقیقه

PHP2Shell، متشکل از CVE-2026-109618 و CVE-2026-109619، در اوایل هفته گذشته، همراه با ترس از سوء استفاده مهاجمان از باگ ها برای از بین بردن بیشتر اینترنت، آشکار شد. با وجود «صدها» مخازن اثبات مفهوم PHP2Shell در GitHub، اولین گزارش‌ها از حملات موفقیت‌آمیز تا روز شنبه آغاز نشد.

هر دو باگ دارای امتیاز CVSS 9.2 هستند و می توانند بدون احراز هویت برای اجرای کد روی سرورهای PHP آسیب پذیر مورد سوء استفاده قرار گیرند.

اکسپلویت PHP2Shell که توسط Dream بازیابی شد کپی هیچ یک از اکسپلویت های عمومی شناخته شده نبود. محققان نوشتند "به نظر می رسد که به طور مستقل توسعه یافته و به طور خاص برای پلت فرم فایروال هدفمند طراحی شده است."

مهاجمان PHP2Shell را با Fragnesia (CVE-2026-46300) ترکیب کردند، یک آسیب‌پذیری محلی با شدت بالا که بر زیرسیستم XFRM ESP-in-TCP هسته لینوکس تأثیر می‌گذارد. آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) روز چهارشنبه این باگ هسته لینوکس را به کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده خود اضافه کرد.

CISA و FBI هر دو از اظهار نظر خودداری کردند.

بدکاران یک اکسپلویت چهار مرحله ای PHP2Shell ایجاد کردند که به آنها اجازه می داد دستورات را بدون احراز هویت روی فایروال های آسیب پذیر Palo Alto Networks اجرا کنند. آنها سپس از Fragnesia برای افزایش امتیازات خود و دسترسی روت استفاده کردند. مهاجمان PAN-OS 12.1 و 12.2 را هدف قرار دادند که PHP 8.0.30 را با محدودیت حافظه بالا اجرا می‌کردند که مراحل تخریب حافظه این اکسپلویت را فعال می‌کرد.

تیم Dream نوشت: "کل زنجیره - از اتصال HTTPS تایید نشده تا پوسته ریشه دائمی - در کمتر از 15 دقیقه تکمیل می شود."

4 مرحله برای روت کردن

نحوه کار به این صورت است: اول، آنها سرورها را با درخواست‌های POST چند بخشی ساخته شده پر می‌کنند تا حافظه PHP را خراب کنند و یک چیدمان حافظه قابل پیش‌بینی را مجبور کنند.

سپس یک درخواست دوم، طول ID جلسه قدیمی را از قسمت تخریب حافظه حمله جعل می کند، و مجبور به خواندن خارج از محدوده می شود و آدرس پایه libphp.so را در فرآیند اجرا آشکار می کند.

سپس مهاجمان مجددا حافظه PHP را خسته می‌کنند تا mod_data=NULL را مجبور کنند و یک مرجع قدیمی ایجاد می‌کنند که می‌توانند در مرحله آخر برای اجرای دستورات به عنوان کاربر nobody جعل کنند. آنها از Fragnesia برای افزایش ریشه و کاشت یک پوسته وب در یک فهرست در دسترس عموم در فایروال استفاده می کنند.

مهاجمان پس از نفوذ از طریق فایروال های در معرض خطر، در Active Directory جاسوسی کردند و اعتبار و سایر اطلاعات حساس را به سرقت بردند. با دسترسی ریشه، مهاجمان همچنین دارای کلید اصلی برای رمزگشایی رمز عبور حساب سرویس LDAP بودند که آن را در هر اسکریپت بعدی کدگذاری می کردند.

آنها همچنین هر کاربر و گروهی را در دامنه از طریق کوئری های LDAP برشمردند و رمزهای عبور را علیه هر حساب کاربری اسپری کردند. مهاجمان همچنین سعی کردند حساب‌های AD در پشتی ایجاد کنند و سعی کردند کلید امضای SAML را استخراج کنند - اما Dream نمی‌داند که آیا اینها موفق بوده‌اند یا خیر.

محققان خاطرنشان کردند: «نتایج حمله - چه اسپری رمز عبور اعتبارنامه‌های معتبر پیدا کند، چه حساب‌های درب پشتی ایجاد شده باشند، چه کلیدهای SAML استخراج شده باشند - در سیستم فایل محلی سرور مدیریت باقی مانده و جزو مصنوعاتی که ما بازیابی کرده‌ایم نبوده‌اند».

ابزارهای هوش مصنوعی در حمله

این تحقیقات همچنین شواهدی را نشان داد که مهاجمان از ابزارهای هوش مصنوعی استفاده می‌کردند، اما اشاره کرد که این یک حمله کاملا مستقل نبود.

محققان دریافتند کد کلود Anthropic نصب شده است، یک پلت فرم امنیتی تهاجمی مبتنی بر هوش مصنوعی به نام aiscan که با مدل‌های چینی DeepSeek و Kimi پیکربندی شده است، و کلیدهای API برای سرویس شناسایی FOFA. FOFA یک موتور جستجوی دارایی اینترنتی چینی شبیه به Shodan است. مهاجمان از آن برای شناسایی حدود 19000 فایروال شبکه های Palo Alto در سراسر جهان استفاده کردند.

دریم هشدار داد: "تونل دائمی به سازمان دولتی ایالات متحده احتمالا هنوز در حال اجرا است." "و مهاجم هنوز 19000 هدف اثرانگشتی دارد که می‌توانند با توسعه پروفایل‌های نسخه‌های PAN-OS اضافی، دوباره از آنها بازدید کنند."