Los intentos de explotación PHP2Shell continúan en medio de sospechosa actividad de escaneo global por parte de Corea del Norte
Los atacantes están explotando activamente aplicaciones PHP utilizando técnicas PHP2Shell, con posibles vínculos con actores de amenazas de Corea del Norte. Palo Alto Networks aclara hallazgos anteriores tras un análisis más profundo.
Resumen
- Palo Alto Networks rectifica su afirmación inicial vinculando la falla PHP2Shell con el acceso a una agencia gubernamental europea.
- Nuevas evidencias muestran que los atacantes utilizaron una aplicación PHP vulnerable para el compromiso.
- La continua actividad de escaneo global sugiere una campaña más amplia, posiblemente vinculada a Corea del Norte.
- Las organizaciones que usan PHP deben auditar sus aplicaciones web en busca de vulnerabilidades sin parchear.
- Los equipos de seguridad deben monitorear el tráfico de red en busca de signos de movimiento lateral tras la explotación.
Los investigadores de ciberseguridad continúan rastreando intentos activos de explotación que aprovechan vulnerabilidades basadas en PHP, en medio de sospechas sobre actores de amenazas patrocinados por estados. Inicialmente identificado como un posible compromiso relacionado con la falla PHP2Shell, el nuevo análisis ha refinado la comprensión de cómo los atacantes accedieron a una agencia gubernamental europea.
Según Palo Alto Networks Unit 42, aunque las evaluaciones iniciales apuntaban a debilidades conocidas de PHP2Shell, una investigación más detallada reveló una ruta de ataque más matizada. El acceso se produjo a través de una aplicación PHP vulnerable, aunque los mecanismos específicos de explotación siguen bajo análisis. Esta aclaración surge mientras la actividad de escaneo creíblemente originada en Corea del Norte genera preocupaciones sobre una campaña más amplia y coordinada.
Análisis revisado del ataque
- Palo Alto Networks atribuyó inicialmente el acceso a fallos en PHP2Shell pero posteriormente retiró esa evaluación.
- El compromiso real aprovechó una vulnerabilidad diferente dentro de una aplicación PHP utilizada por el objetivo.
- Unit 42 destacó que la explotación permitió a los atacantes obtener capacidades de ejecución en el servidor.
- Las actividades posteriores a la intrusión incluyeron reconocimiento interno y posible preparación de datos para exfiltración.
Escaneo global e indicios de atribución
- Se ha observado un escaneo generalizado en busca de vulnerabilidades PHP en múltiples regiones.
- Algunos indicadores sugieren posibles vínculos con grupos avanzados persistentes (APT) de Corea del Norte.
- Empresas de seguridad están correlacionando estos escaneos con campañas previas asociadas al Grupo Lazarus.
- Se recomienda a las organizaciones revisar los registros de acceso en busca de patrones inusuales que indiquen sondeos automatizados.
- Los indicadores de compromiso (IOCs) están siendo compartidos entre comunidades de inteligencia de amenazas.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.