PHP-ის ხარვეზები საჯაროდ გამჟღავნებამდე რამდენიმე დღით ადრე გამოიყენეს

ოთხშაბათს ინტერნეტში PHP-ის, ფართოდ გამოყენებული ვებ-სკრიპტინგის ენის, ორ კრიტიკულ ხარვეზზე შესწორებების დაყენება სასწრაფოდ დაიწყეს. ახლად გამოქვეყნებული დეტალები ცხადყოფს, რომ ყველა თავდასხმის შეჩერება უკვე დაგვიანებული იყო.

ოთხშაბათს PHP-ის ორი კრიტიკული ხარვეზის შესწორებები გამოქვეყნდა. ადმინისტრატორებმა და უსაფრთხოების სპეციალისტებმა დაუცველი ვებსაიტებისა და აპლიკაციების მოძებნა და განახლება იჩქარეს. ამავე დროს, თავდამსხმელებმა შესწორებები უკუინჟინერიით შეისწავლეს, რათა გაეგოთ, როგორ გამოეყენებინათ ხარვეზები. ზოგიერთმა მთავრობამ და სხვა ჯგუფმა გამოქვეყნების მოლოდინში მნიშვნელოვანი ვებსაიტებიც კი წინასწარ გათიშა, რათა განახლებამდე ისინი თავდასხმის სამიზნე არ გამხდარიყო.

თუმცა, ოთხშაბათს აქტიური გამოყენების შემთხვევების აღმოჩენის გარდა, Amazon Web Services-ის მიერ ოთხშაბათს საღამოს გამოქვეყნებული კვლევა მიუთითებს, რომ სულ მცირე ერთმა აქტორმა ხარვეზების გამოყენება 17 ოქტომბერს სცადა, ოთხი დღით ადრე, ვიდრე მათ შესახებ ოთხშაბათს საჯაროდ გახდებოდა ცნობილი. ამ ხარვეზებს ერთობლივად PHP2Shell ეწოდება.

AWS-ის ანალიტიკოსებმა 17 ოქტომბრის თავდასხმის მცდელობა ოთხშაბათს აღმოაჩინეს, როცა მანამდე ერთ-ერთ „თაფლქოთანში“ დაფიქსირებულ აქტივობას იხსენებდნენ. ასე უწოდებენ განზრახ დაუცველ ვებ-სერვერებსა და სხვა ციფრულ სატყუარებს, რომლებიც მკვლევრებს თავდასხმის მეთოდებისა და ტენდენციების შესწავლაში ეხმარება. მცდელობა იმ IP-მისამართიდან განხორციელდა, რომელიც, AWS-ის თქმით, „კომერციულ ანონიმიზაციის ქსელთან“, ანუ პროქსი-სერვერთა ქსელთან ან VPN-თან იყო დაკავშირებული.

AWS-ის ინფორმაციული უსაფრთხოების მთავარმა ოფიცერმა სი ჯეი მოზესმა კვლევის პოსტში დაწერა: „როცა ხარვეზის შესახებ ინფორმაცია ჯერ არ იყო გამჟღავნებული, ანონიმიზებული IP-მისამართიდან თაფლქოთანზე თავდასხმის მცდელობა მიანიშნებს, რომ ეს მოქმედება საფრთხის შემცველმა აქტორმა განახორციელა. თუმცა, ჯერ გაურკვეველია, როგორ მოიპოვა აქტორმა ექსპლოიტის შესახებ ინფორმაცია მის გამჟღავნებამდე“.

PHP2Shell-ის კონცეფციის დამადასტურებელი ექსპლოიტები ოთხშაბათს საჯაროდ გამოჩნდა. ზოგი მათგანი, როგორც ჩანს, აღმოსავლეთის დროით დილის 10 საათზე დაგეგმილ საჯარო გამჟღავნებამდე რამდენიმე საათით ადრე გავრცელდა. AWS-ის მკვლევრების თქმით, გამჟღავნებამდე რამდენიმე საათის განმავლობაში მათ თაფლქოთნებზე სხვადასხვა პროვაიდერის მეშვეობით ანონიმიზებული წყაროებიდან ექსპლოიტის არაერთი მცდელობა დაფიქსირდა. თავდასხმებს, როგორც ჩანს, სხვადასხვა მიზანი ჰქონდა, რაც, სავარაუდოდ, რამდენიმე განსხვავებულ აქტორზე მიუთითებს.

მოზესმა დაწერა: „ტექნიკური ანალიზი გრძელდება და გაურკვეველია, ამ მცდელობებიდან რომელიმე რეალურ სისტემებზე წარმატებული იქნებოდა თუ არა“. მან დასძინა: „PHP2Shell-ს ახლა ფართოდ იყენებენ რეალურ გარემოში“.