Цепочка взлома: от веб-интерфейса до домена
Компания Dream Security обнаружила масштабную кампанию, в ходе которой злоумышленники использовали уязвимость PHP2Shell для первоначального выполнения кода. Ошибка позволяет обойти ограничения безопасности и выполнить произвольный код. В сочетании с уязвимостью повышения привилегий Fragnesia (CVE-2026-46300) в Linux-окружении, атакующие смогли за менее чем 15 минут превратить удаленный доступ через веб-интерфейс в полные права root на сервере.
Целевая платформа работала на базе PHP 8.0.30. Несмотря на то, что исправления для PHP 2Shell были выпущены еще 21 октября в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35, многие организации продолжали использовать уязвимые сборки.
Масштаб инцидента: 24 скомпрометированных устройства
Атакующие использовали поисковую систему FOFA для сканирования интернета. Изначально было найдено около 19 000 открытых интерфейсов управления фаерволами крупного производителя. После фильтрации по версиям список сузился до 240 устройств в США, Японии, Тайване и Южной Корее. Автоматизированный инструмент успешно взломал 24 фаервола и установил на них PHP-вебшелл.
Особую тревогу вызвало то, что два из скомпрометированных устройств принадлежали организации, связанной с правительством США. Злоумышленники закрепились через обратный SSH-туннель, что позволило им перейти во внутреннюю сеть и атаковать сервер управления фаерволами, доведя общее число взломанных систем до 25.
Последствия: кража данных Active Directory
Получив root-доступ к серверу управления, хакеры выполнили критически важные действия:
- Расшифровали пароль служебной учетной записи LDAP.
- Выгрузили полный список пользователей и групп Active Directory.
- Провели атаку password spraying (подбор паролей).
- Попытались создать скрытые учетные записи и получить ключи подписи SAML.
Dream подтвердила факт кражи учетных данных и разведки каталога, однако не смогла установить, были ли реализованы дальнейшие шаги по компрометации домена.
Характеристики уязвимостей
| Уязвимость | Тип | CVSS 4.0 / 3.1 | Роль в атаке |
|---|---|---|---|
| PHP2Shell (CVE-2026-109618, CVE-2026-109619) | Выполнение кода (RCE) | 9.2 | Первоначальный доступ через веб-интерфейс фаервола |
| Fragnesia (CVE-2026-46300) | Повышение привилегий | 7.8 | Получение root-доступа на Linux-сервере |
Роль ИИ и происхождение атакующих
В материалах, оставленных злоумышленниками, были обнаружены упоминания инструментов Claude Code и платформы aiscan с использованием моделей DeepSeek и Kimi. Dream допускает, что ИИ мог помочь в разработке эксплойтов, но прямых доказательств этого нет.
Косвенные признаки (китайские запросы в логах, часовой пояс UTC+8, выбор целей) указывают на возможную связь с китайскими группировками, однако совокупность данных не позволяет однозначно идентифицировать исполнителей. Инцидент демонстрирует переход от массового сканирования к точечным атакам на критическую инфраструктуру с использованием автоматизированных инструментов.
Источник: Securitylab ↗