PHP2Shell زنجیر شده از 25 سرور ریشه، از جمله سرورهای دولت ایالات متحده بهره برداری می کند

از زمان این کشف، تیم تحقیقاتی Dream به‌روزرسانی‌ها را به اشتراک گذاشته و در تحقیقاتی با Palo Alto Networks، فروشنده فایروال مورد نظر، همکاری می‌کند. اطلاعات بیشتر در وب سایت Palo Alto Networks موجود است. جزئیات بیشتر اکنون در خود پست گنجانده شده است.

اکسپلویت سفارشی PHP2Shell زنجیره‌ای با هسته LPE به نسخه‌های ریشه‌ای فایروال‌های PAN-OS شبکه‌های Palo Alto در طبیعت

در 25 اکتبر، محققان Dream مصنوعاتی را کشف کردند که به نظر می رسید یک کمپین چینی با کمک هوش مصنوعی است که 25 سرور، از جمله سیستم های موجود در یک محیط وابسته به دولت ایالات متحده را ریشه کن می کرد. مهاجم PHP2Shell را با یک اکسپلویت افزایش امتیاز هسته ترکیب کرد تا سیستم‌های در معرض خطر را به خطر بیندازد.

دستگاه‌های آسیب‌دیده نسخه‌های خاصی از Palo Alto Networks PAN-OS را اجرا می‌کنند.

سطح مورد سوء استفاده سرور وب مدیریت PAN-OS است که در مقابل پورتال GlobalProtect نیز قرار دارد. واحد 42 Palo Alto Networks به طور مستقل ابزار و نتایج مهاجم را تأیید کرده است و Palo Alto Networks در حال انتشار نسخه‌های PAN-OS ثابت در شاخه‌های آسیب‌دیده است.

پس از روت کردن فایروال ها، مهاجم حملاتی را علیه Active Directory انجام داد. مصنوعات بازیابی شده استخراج اعتبار و شمارش دایرکتوری را تأیید می کنند.

این عملیات نشان می‌دهد که چگونه یک رابط مدیریتی در معرض می‌تواند به مسیری برای ورود به زیرساخت هویت سازمان تبدیل شود. برای مدافعان دولت، کشف آسیب‌پذیری تازه آغاز است، پس از آن چالش واقعی از شناسایی سیستم‌های آسیب‌پذیر تا درک و محدود کردن دسترسی‌هایی که یک مصالحه ممکن می‌سازد گسترش می‌یابد.

تحقیق زیر با شکار پیشگیرانه تهدید با استفاده از محصول تحقیقاتی سایبری خودمختار Dream، Hero انجام شد.

محققان رویا یک عملیات حمله کامل را شناسایی کردند که شامل یک تسلیحات سفارشی از زنجیره بهره برداری PHP2Shell (CVE-2026-109618/CVE-2026-109619) همراه با افزایش امتیاز هسته Fragnesia (CVE-2026-46300) و لیست های سفارشی، و اهداف سفارشی اسکریپت های پس از بهره برداری

این شامل مصنوعات کمپینی بود که 25 فایروال PAN-OS و سرورهای مدیریتی را در سراسر ایالات متحده، ژاپن، تایوان و کره جنوبی روت کرده بود. مهاجم پس از روت شدن، سه سرور خاص را در یک محیط وابسته به دولت ایالات متحده وارد کرد.

مصنوعات کشف شده عملیاتی را نشان دادند که با توسعه اکسپلویت در یک محیط آزمایشگاهی آغاز شد و با دسترسی مداوم به دامنه داخلی اکتیو دایرکتوری یک سازمان دولتی ایالات متحده پایان یافت.

ما همچنین شواهدی از ابزارهای به کمک هوش مصنوعی در زیرساخت حمله مشاهده کردیم:

در حالی که هیچ مدرک مستقیمی مبنی بر اینکه ابزارهای هوش مصنوعی به طور خاص برای نوشتن اسکریپت های اکسپلویت یا پس از بهره برداری استفاده شده اند، نداریم، ساختار کد، سبک اظهار نظر و ثبات در 40 اسکریپت نشان دهنده توسعه با کمک هوش مصنوعی است. گفته می شود، به نظر نمی رسد این عملیات یک حمله کاملا خودمختار دولت-ملت باشد.

مهاجم دو اکسپلویت مجزا ایجاد کرد و آنها را به هم متصل کرد تا به دسترسی ریشه در هر فایروال PAN-OS رو به اینترنت که یک بیلد آسیب پذیر را در یک درخواست HTTP بدون هیچ گونه اعتباری اجرا می کند، دست یابد.

پیاده‌سازی‌ای که ما بازیابی کردیم یک ساخت سفارشی و غیر عمومی است، نه یک کپی از هرگونه سوء استفاده عمومی شناخته شده برای PHP2Shell. این مفهوم از همان مفهوم اساسی پیروی می کند، اما به نظر می رسد که به طور مستقل توسعه یافته و به طور خاص برای PAN-OS طراحی شده است.

این آسیب پذیری مکانیسم session.upload_progress PHP را در وب سرور مدیریت PAN-OS (appweb) هدف قرار می دهد. PAN-OS از PHP 8.0.30 با محدودیت حافظه بالا استفاده می کند که مراحل تخریب حافظه حمله را فعال می کند.

حمله در چهار مرحله هماهنگ کار می کند:

اجرای کد چون هیچ کس کافی نیست، زیرا SELinux httpd_t را از تغییر فایل های سیستم محدود می کند. به منظور تکمیل ریشه، مهاجم در دومین اکسپلویت زنجیره ای ایجاد کرد: یک آسیب پذیری هسته لینوکس در زیرسیستم XFRM ESP-in-TCP.

Fragnesia از نوشتن صفحه کش برای بازنویسی /etc/pam.d/su استفاده می کند - قوانین احراز هویت خود را با pam_permit.so جایگزین می کند (همه را بپذیرید). از آنجایی که فایل PAM تنها 774 بایت است، این اکسپلویت از یک نوع پیوند در هر بایت برای نوشتن دقیق آن استفاده می کند. پس از بازنویسی، سو روت بدون رمز عبور موفق می شود.

هر دو اکسپلویت در یک درخواست HTTP B2 اجرا می شوند. کل زنجیره - از اتصال HTTPS تأیید نشده تا پوسته ریشه دائمی - در کمتر از 15 دقیقه تکمیل می شود.

این اکسپلویت یک بار محموله آتش و فراموش نمی شود. این نیاز به جابجایی‌های دقیق حافظه دارد که بین نسخه‌های PAN-OS متفاوت است - آدرس zval_ptr_dtor، آدرس zif_system، اندازه‌های ساختار HashTable و پارامترهای هندسه حافظه که طرح‌بندی پشته را در هر مرحله کنترل می‌کنند.

در میان مصنوعات بازیابی شده، 11 فایل نمایه نسخه JSON پیدا کردیم - یکی برای هر نسخه PAN-OS که آزمایش شده بود:

هر نمایه حاوی آفست‌های دقیق استخراج‌شده از باینری libphp.so آن نسخه است - با هش‌های SHA256 هر کتابخانه، شناسه‌های ساخت ELF و پارامترهای هندسه دقیق حافظه (اندازه‌های تکه، تعداد پر، تعداد تخلیه، افست اسپری) که از طریق آزمایش آزمایشگاهی تنظیم شده‌اند.

تفاوت بین نمایه‌های "کالیبره شده" و "موقت" قابل توجه است - کالیبره شده به این معنی است که مهاجم اکسپلویت را در برابر ماشین مجازی در حال اجرا آن نسخه آزمایش کرده و عملکرد هندسه حافظه را تأیید کرده است. موقت به این معنی است که آنها افست ها را از باینری محاسبه کرده اند اما در یک نمونه زنده تأیید نکرده اند.

با بهره‌برداری آماده و نمایه‌های 9 نسخه قابل بهره‌برداری، مهاجم کمپین هدف‌گیری را راه‌اندازی کرد که از یک قیف واضح پیروی می‌کرد:

مهاجم با استفاده از FOFA - یک موتور جستجوی دارایی اینترنتی چینی مشابه Shodan - تقریبا 19000 فایروال PAN-OS را در سراسر جهان شناسایی کرد. اینها دستگاه‌هایی با رابط‌های مدیریتی بودند که در معرض اینترنت بودند و از طریق اثر انگشت گواهی و امضاهای پاسخ HTTP قابل کشف بودند.

یک اسکنر نسخه سفارشی با 200 رشته همزمان در برابر همه 19000 هدف اجرا می شد و تشخیص می داد که کدام دستگاه ها واقعا آنلاین هستند و چه نسخه PAN-OS را اجرا می کردند. تقریبا 5000 نفر با اطلاعات نسخه پاسخ دادند.

از بین 5000 دستگاه زنده، مهاجم به سرورهایی که فقط در ایالات متحده، ژاپن، تایوان و کره جنوبی قرار دارند فیلتر شد. سپس به نسخه‌هایی که با نمایه‌های اکسپلویت آن‌ها منطبق بودند (شاخه‌های PAN-OS 12.1 و 12.2 با PHP 8.0.30) فیلتر شدند. این یک لیست هدف نهایی از 240 فایروال را ایجاد کرد.

از آنجایی که ایالات متحده، ژاپن، تایوان و کره جنوبی چهار دشمن استراتژیک و هدف اطلاعاتی اصلی برای عملیات سایبری چینی در صحنه اقیانوس آرام هستند، این نشان دهنده تلاش های بالقوه دشمن دولت-ملت است.

240 هدف وارد یک دونده دسته‌ای خودکار شدند که هر بار 5 تا از آنها بهره برداری می‌کرد، با 1800 ثانیه (30 دقیقه) تایم اوت برای هر هدف. برای هر موفقیت، دسته:

در این مرحله، 24 فایروال با موفقیت روت شده بودند.

برای 22 فایروال از 24 فایروال روت شده، مهاجم هیچ کاری به جز کاشت پوسته وب انجام نداد. بدون تداوم، بدون تونل، بدون ابزار پس از بهره برداری. سرورها عملا تحت مالکیت و پارک بودند و به مهاجم اجازه می‌داد در هر زمانی از طریق پوسته وب بازگردد.

دو سرور به ظاهر مرتبط با یک هدف فراتر از این مرحله پیشرفت کردند. به نظر می رسید که هر دو متعلق به یک محیط وابسته به دولت ایالات متحده باشند.

از میان 24 فایروال روت شده، دو فایروال متعلق به یک سازمان وابسته به دولت آمریکا بود. پیکربندی در حال اجرا استخراج شده از اولین فایروال محیطی را با ویژگی هایی نشان داد که نشان دهنده وابستگی به دولت است: احراز هویت CAC (کارت دسترسی مشترک)، یک پیشوند نامگذاری خاص، و نامگذاری دارایی به سبک دولتی استاندارد. فایل پیکربندی شامل توپولوژی شبکه داخلی کامل سازمان بود: کنترل‌کننده‌های دامنه، یک سرور مدیریت فایروال مرکزی، یک سرور Keycloak SSO، یک نمونه GitLab، دروازه‌های VPN GlobalProtect و دامنه Active Directory.

اولین فایروال در 23 اکتبر در ساعت 18:14 UTC در طول دسته خودکار روت شد. اما اندکی بعد از کار افتاد - احتمالا از حدود 900 مگابایت ترافیک اکسپلویت - و دیگر آنلاین نشد. مهاجم آن را با 240 کاوشگر خودکار در مدت دو ساعت تحت نظر داشت و منتظر بود تا بهبود یابد. این کار را نکرد. فایروال دوم، که اطلاعات گواهینامه آن به طور قطعی آن را به سازمان هدف مرتبط می کرد، در طول دسته اصلی به پایان رسیده بود.

با تشخیص ارزش سازمان از پیکربندی اولین فایروال، مهاجم یک کمپین جداگانه و اختصاصی ایجاد کرد و در 24 اکتبر ساعت 10:09 UTC با موفقیت از آن سوء استفاده کرد.

یک تونل پایدار در شبکه داخلی ایجاد کرد.

یک تونل SSH معکوس 8 پورت، فایروال آسیب‌دیده را به زیرساخت اپراتور متصل می‌کند و دسترسی به زیر را ارسال می‌کند:

این تونل در یک سرویس systemd و یک قلاب بوت rc.local پیچیده شده بود که هر دو اسکریپت‌ها را از /usr/local/lib/.panops/ راه‌اندازی می‌کردند - از راه‌اندازی مجدد جان سالم به در می‌برد و به‌طور خودکار دوباره متصل می‌شود.

از سرور مدیریت از طریق تونل سوء استفاده کرد. در ساعت 11:35 UTC، کمتر از 90 دقیقه پس از روت کردن فایروال دوم، مهاجم از دسترسی سرور تازه به دست آمده و همان زنجیره PHP2Shell + Fragnesia علیه سرور سوم دولتی استفاده کرد - سرور مدیریت فایروال داخلی که فقط از طریق تونل قابل دسترسی بود. این سرور به صورت متمرکز تمامی فایروال های سازمان را مدیریت می کند. به خطر انداختن آن، به مهاجم امکان دسترسی به پیکربندی، اعتبار و تنظیمات شبکه فایروال مدیریت شده را می داد. این تعداد کل سرورهای مورد سوء استفاده را به 25 رساند.

یک کمپین حمله AD از سرور مدیریت راه اندازی شد. از آنجایی که سرور مدیریت قبلا اتصال LDAP به Active Directory داشت (برای احراز هویت کاربران VPN به آن نیاز دارد)، مهاجم از آن به عنوان پلت فرم راه اندازی خود برای حملات دامنه استفاده کرد:

نتایج حمله - اینکه آیا اسپری رمز عبور اعتبارنامه‌های معتبری پیدا می‌کند، آیا حساب‌های در پشتی ایجاد شده‌اند، آیا کلیدهای SAML استخراج شده‌اند - در سیستم فایل محلی سرور مدیریت باقی می‌مانند و جزو مصنوعاتی نبودند که ما بازیابی کردیم. این بدان معناست که ما نمی توانیم میزان کامل سازش را تعیین کنیم.

از مصنوعات بازیابی شده، می توانیم تأیید کنیم که مهاجم دارای موارد زیر است:

چیزی که ما نمی توانیم تعیین کنیم این است که آیا اسپری رمز عبور، ایجاد حساب کاربری در پشتی یا استخراج کلید SAML موفقیت آمیز بوده است. اگر هر یک از این حملات جواب داد، مصالحه بسیار فراتر از فایروال های محیطی به زیرساخت هویت سازمان گسترش می یابد.

ما این فعالیت را به یک عامل تهدید کننده نسبت نمی دهیم. واحد 42 شبکه های پالو آلتو این فعالیت را به عنوان CL-UNK-1280 ردیابی می کند و آن را به یک مهاجم چینی زبان در منطقه زمانی UTC+8 نسبت می دهد. با این حال، چندین شاخص به یک عملیات Nexus چینی اشاره دارد:

این عملیات سطحی از آمادگی و توانایی را نشان می دهد که آن را از بهره برداری فرصت طلبانه متمایز می کند. مهاجم تلاش زیادی را برای تحقیقات آسیب‌پذیری انجام داد - به دست آوردن سیستم عامل PAN-OS، رمزگشایی آن، استخراج کتابخانه‌های PHP، ساخت پروفایل‌های حافظه دقیق برای 9 نسخه مختلف نرم‌افزار، و کالیبره کردن هندسه بهره‌برداری از طریق آزمایش آزمایشگاهی. بهره برداری به خودی خود خودکار و کارآمد بود: 240 هدف در یک دسته، با پروفایل های خاص نسخه به طور خودکار انتخاب شدند.

تمرکز واضحی بر اهداف دولت وجود داشت.

مهاجم 19000 فایروال را اسکن کرد، 24 فایروال را روت کرد و بلافاصله دو مورد مهم را شناسایی کرد. در عرض چند ساعت پس از به خطر انداختن فایروال وابسته به دولت ایالات متحده، آنها به شبکه داخلی تونل زدند، سرور سومی را با استفاده از همان اکسپلویت PHP2Shell به خطر انداختند و یک کمپین حمله کامل Active Directory راه اندازی کردند - همه از طریق زنجیره ای که با یک درخواست HTTPS احراز هویت نشده شروع شد به یک رابط مدیریتی که هرگز نباید در معرض اینترنت قرار می گرفت.

22 فایروال روت شده دیگر با پوسته های وب فعال پارک شده اند. تونل دائمی به سازمان دولتی ایالات متحده احتمالا هنوز در حال اجرا است. و مهاجم هنوز 19000 هدف اثرانگشتی دارد که می‌توانند در حین توسعه پروفایل‌های نسخه‌های PAN-OS بیشتر از آنها بازدید کنند. تله متری دستگاه Palo Alto Networks تلاش های مداوم برای بهره برداری علیه دستگاه های PAN-OS در معرض نمایش را نشان می دهد.

برای راهنمایی کامل و شاخص های سازش به وب سایت Palo Alto Networks مراجعه کنید.

برای دولت‌ها و زیرساخت‌های حیاتی، یافتن یک آسیب‌پذیری تنها آغاز راه است. مدافعان باید سیستم‌های در معرض دید را شناسایی کنند، مشخص کنند مهاجمان از چه چیزی می‌توانند بهره‌برداری کنند، و قبل از اینکه جایگاه به یک مصالحه گسترده‌تر تبدیل شود، اقدام کنند.

Dream این چالش را از طریق دو پلتفرم دفاع سایبری مکمل حل می کند:

آنها با هم، تحقیقات عمیق تر را با دفاع در سراسر سطح حمله ملی مرتبط می کنند.