Hakerlər PHP boşluqlarını yamaqdan bir neçə gün əvvəl istismar edirdilər

Geniş istifadə olunan veb skript dili olan PHP-də bir neçə kritik zəifliyi aradan qaldırmaq üçün çərşənbə günü internetin çılğınlığı hər hücumu dayandırmaq üçün artıq çox gec idi, yeni açıqlanan təfərrüatlar ortaya çıxır.

Çərşənbə günü PHP-də iki kritik boşluq üçün düzəlişlərin buraxılması idarəçilərin və təhlükəsizlik işçilərinin həssas vebsaytları və tətbiqləri müəyyən etmək və yamaqda yarışmasına səbəb oldu, təcavüzkarlar isə qüsurlardan necə istifadə edəcəyini öyrənmək üçün qaçılmaz olaraq düzəlişləri tərsinə çevirdilər. Bəzi hökumətlər və digər qruplar, yamaqları tətbiq etməzdən əvvəl onların hədəfə alınmaması üçün buraxılış ərəfəsində əsas veb-saytları aktiv şəkildə ləğv etdilər.

Lakin çərşənbə günü belə aktiv istismarı aşkar etməklə yanaşı, çərşənbə axşamı Amazon Web Services tərəfindən dərc edilən araşdırma göstərir ki, ən azı bir aktyor oktyabrın 17-də, çərşənbə günü ictimai açıqlamalardan dörd gün əvvəl, ümumi olaraq PHP2Shell kimi tanınan səhvlərdən istifadə etməyə başlayıb.

AWS analitikləri Çərşənbə günü 17 Oktyabr istismarını öz bal küplərindən birində və ya qəsdən həssas veb serverlərində və ya tədqiqatçılara hücum üsullarını və tendensiyalarını öyrənməyə kömək edən digər rəqəmsal cazibələrdən birində fəaliyyətə baxarkən gördülər. Cəhd AWS-in “kommersiya anonimləşdirmə şəbəkəsi”, başqa sözlə, proxy şəbəkəsi və ya VPN ilə əlaqəli olduğunu söylədiyi bir IP ünvanından gəldi.

"Zəiflik embarqo altında olsa da, anonim IP ünvanından bal qabının hədəfə alınması fəaliyyətin təhdid aktyoru tərəfindən həyata keçirildiyini göstərir, baxmayaraq ki, aktyorun ifşa edilməzdən əvvəl istismar məlumatlarını necə əldə etdiyi aydın deyil" deyə AWS-nin baş informasiya təhlükəsizliyi üzrə mütəxəssisi CJ Moses araşdırma postunda yazdı.

PHP2Shell üçün konseptin sübutu istismarları çərşənbə günü ictimaiyyətə açıqlanmağa başladı, bəziləri isə səhər saat 10-da ET-də ictimaiyyətə açıqlanmadan bir neçə saat əvvəl görünür. Açıqlamadan bir neçə saat əvvəl, AWS tədqiqatçıları deyirlər ki, onların bal qabları müxtəlif provayderlərdən istifadə etməklə anonimləşdirilmiş və müxtəlif hücum məqsədləri ilə çoxlu istismar cəhdləri ilə vurulub, ehtimal ki, çox fərqli aktyorlar var. "Texniki təhlillər davam edir və bu cəhdlərdən hər hansı birinin real dünya sistemlərində uğur qazanacağı bəlli deyil" deyə Musa yazdı. O əlavə etdi ki, "PHP2Shell indi vəhşi təbiətdə geniş şəkildə istifadə olunur."

Oktyabrın 17-də istismarın necə baş verdiyi və ya haradan gəldiyi bəlli olmasa da, AWS vurğulayır ki, tapıntılar zəifliyin təhlilini sürətləndirə və texniki cəhətdən daha az bacarıqlı aktyorlara yeni istismarları tez bir zamanda inkişaf etdirməyə imkan verən süni intellekt alətlərinə qlobal çıxışı nəzərə alaraq, zəifliyin koordinasiyalı şəkildə açıqlanmasının necə inkişaf etməli və sürətlənməsini vurğulayır.

"Yamaqdan işləyən istismara qədər olan vaxt struktur səbəblərə görə daralır" deyə Musa yazdı. "Keçmişdə müşahidə etdiyimiz istismarın əksəriyyəti konsepsiyanın ictimai sübutu yayımlandıqdan sonra baş verdi. Az sayda bacarıqlı aktyorlar istismarlar yaratdı və hamı onları gözləyirdi. Bu asılılıq zəifləyir. Süni intellektlə aparılan təhlil yamaq fərqini və ya məsləhəti işləyən istismara çevirməyi daha ucuz edir. Nəticədə, daha çox aktyor texniki təfərrüatlar bir neçə saat və ya hətta bir neçə dəqiqə ərzində açıqlana bilər."