هکرها از آسیب‌پذیری‌های PHP چند روز قبل از وصله استفاده کردند

انتشار اصلاحات در روز چهارشنبه برای دو آسیب‌پذیری مهم در PHP باعث شد تا مدیران و کارکنان امنیتی برای شناسایی و اصلاح وب‌سایت‌ها و برنامه‌های آسیب‌پذیر به رقابت بپردازند، در حالی که مهاجمان به ناچار اصلاحات را مهندسی معکوس کردند تا یاد بگیرند که چگونه از نقص‌ها سوء استفاده کنند. برخی از دولت‌ها و گروه‌های دیگر حتی به‌منظور انتشار وصله‌ها، وب‌سایت‌های کلیدی را فعالانه حذف کردند، بنابراین قبل از اعمال وصله‌ها مورد هدف قرار نخواهند گرفت. اما علاوه بر شناسایی چنین بهره برداری فعال در روز چهارشنبه، تحقیقات منتشر شده در عصر چهارشنبه توسط وب سرویس آمازون نشان می دهد که حداقل یک بازیگر دارای

در 17 اکتبر، چهار روز قبل از افشای عمومی روز چهارشنبه، تلاش برای سوء استفاده از باگ‌ها – که در مجموع به عنوان PHP2Shell شناخته می‌شوند، آغاز شد. تحلیلگران AWS روز چهارشنبه در حالی که به فعالیت در یکی از به اصطلاح هانی‌پات‌ها، یا وب سرورهای عمدا آسیب‌پذیر یا دیگر فریب‌های دیجیتالی که به محققان در مطالعه روش‌ها و روندهای حمله کمک می‌کنند نگاه می‌کردند، بهره‌برداری 17 اکتبر را مشاهده کردند.

این تلاش از طریق یک آدرس IP انجام شد که AWS می‌گوید به یک «شبکه ناشناس تجاری»، به عبارت دیگر یک شبکه پراکسی یا VPN مرتبط است. سی جی موزس، افسر ارشد امنیت اطلاعات AWS در این پست تحقیقاتی نوشت: «در حالی که این آسیب‌پذیری تحت تحریم بود، هدف قرار دادن هانی‌پات از یک آدرس IP ناشناس نشان می‌دهد که این فعالیت توسط یک عامل تهدید انجام شده است، اگرچه هنوز مشخص نیست که این بازیگر چگونه اطلاعات سوءاستفاده‌ای را قبل از افشا به دست آورده است». اکسپلویت های اثبات مفهومی برای PHP2Shell از روز چهارشنبه به طور عمومی ظاهر شدند، به نظر می رسید که برخی از آنها ساعت ها قبل از انتشار عمومی ظاهر شدند.

بسته شدن در ساعت 10 صبح به وقت شرقی در ساعات منتهی به افشای، محققان AWS می‌گویند که هانی‌پات‌های آن‌ها با چندین تلاش برای بهره‌برداری ناشناس با استفاده از ارائه‌دهندگان مختلف و ظاهرا با اهداف حمله مختلف مورد ضربه قرار گرفته‌اند که احتمالا نشان‌دهنده چندین بازیگر مختلف است. موزس نوشت: «تحلیل فنی در حال انجام است و مشخص نیست که آیا هر یک از این تلاش‌ها در سیستم‌های دنیای واقعی موفق بوده است یا خیر».

او افزود که "PHP2Shell اکنون به طور گسترده در طبیعت مورد سوء استفاده قرار می گیرد." بنیاد PHP بلافاصله به درخواست WIRED برای اظهار نظر پاسخ نداد. اگرچه مشخص نیست که بهره‌برداری در 17 اکتبر چگونه اتفاق افتاده است یا از کجا آمده است، AWS تاکید می‌کند که یافته‌ها نشان می‌دهد که چگونه افشای آسیب‌پذیری هماهنگ باید تکامل یابد و با توجه به دسترسی جهانی به ابزارهای هوش مصنوعی که می‌توانند تجزیه و تحلیل آسیب‌پذیری را تسریع کنند و به بازیگران کمتر از نظر فنی اجازه می‌دهد به سرعت اکسپلویت‌های جدید را توسعه دهند، باید سرعت بخشد. موزس نوشت: «زمان از وصله تا بهره برداری کاری به دلایل ساختاری در حال کاهش است.

"در گذشته، بیشتر بهره‌برداری‌هایی که مشاهده می‌کردیم، پس از انتشار اثبات عمومی مفهوم صورت می‌گرفت. تعداد کمی از بازیگران توانا، اکسپلویت‌ها را ساختند، و همه منتظر آن‌ها بودند. این وابستگی در حال ضعیف شدن است. تجزیه و تحلیل به کمک هوش مصنوعی، تبدیل یک پچ تفاوت یا مشاوره را به یک اکسپلویت کاری ارزان‌تر می‌کند. در نتیجه، تعداد بیشتری از بازیگران می‌توانند در عرض چند ساعت یا حتی چند دقیقه، جزئیات فنی‌تر را انجام دهند."