Tentativas de Exploração do PHP2Shell Continuam em Meio a Atividades Suspeitas de Varredura Global da Coreia do Norte
Atacantes estão explorando ativamente aplicações PHP usando técnicas do PHP2Shell, com possíveis vínculos com agentes de ameaça da Coreia do Norte. A Palo Alto Networks esclarece descobertas anteriores após análise mais aprofundada.
TL;DR
- A Palo Alto Networks retira a declaração inicial que ligava a falha do PHP2Shell à violação de uma agência governamental europeia.
- Novas evidências mostram que os atacantes usaram uma aplicação PHP vulnerável na invasão.
- A atividade contínua de varredura global sugere uma campanha mais ampla, possivelmente ligada à Coreia do Norte.
- Organizações que utilizam PHP devem auditar seus aplicativos web em busca de vulnerabilidades não corrigidas.
- Equipes de segurança devem monitorar o tráfego de rede para detectar movimentações laterais pós-exploração.
Pesquisadores de cibersegurança continuam acompanhando tentativas ativas de exploração que utilizam vulnerabilidades baseadas em PHP, diante das suspeitas de agentes de ameaça patrocinados por estados. Inicialmente identificada como uma possível violação envolvendo a falha PHP2Shell, uma nova análise aprimorou o entendimento sobre como os atacantes invadiram uma agência governamental europeia.
De acordo com a equipe Unit 42 da Palo Alto Networks, embora avaliações iniciais tenham apontado para fraquezas conhecidas no PHP2Shell, investigações posteriores revelaram um caminho de ataque mais complexo. A violação ocorreu por meio de uma aplicação PHP vulnerável, embora os mecanismos específicos da exploração ainda estejam sob análise. Esse esclarecimento surge enquanto atividades de varredura, acreditadas como originárias da Coreia do Norte, levantam preocupações sobre uma campanha mais ampla e coordenada.
Análise Revisada do Ataque
- A Palo Alto Networks inicialmente atribuiu a violação às falhas do PHP2Shell, mas depois retratou essa avaliação.
- A verdadeira violação explorou uma vulnerabilidade diferente dentro de uma aplicação PHP usada pelo alvo.
- O Unit 42 enfatizou que a exploração permitiu aos atacantes obter capacidades de execução no servidor.
- As atividades pós-invasão incluíram reconhecimento interno e possível preparação de dados.
Varreduras Globais e Indícios de Atribuição
- Varreduras generalizadas por vulnerabilidades em PHP têm sido observadas em várias regiões.
- Alguns indicadores sugerem possíveis conexões com grupos avançados e persistentes de ameaça (APT) da Coreia do Norte.
- Empresas de segurança estão correlacionando essas varreduras com campanhas anteriores associadas ao Grupo Lazarus.
- É recomendado que organizações revisem registros de acesso em busca de padrões incomuns indicativos de sondagens automatizadas.
- Indicadores de comprometimento (IOCs) estão sendo compartilhados entre comunidades de inteligência de ameaças.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.