Кампания PHP2Shell собирает список целей для атаки на серверы с PHP

В закрытом канале I2P 22 октября 2026 года два оператора распределяли задачи по подготовке к эксплуатации уязвимостей PHP, объединённых названием PHP2Shell. Подтверждено, что речь идёт о подготовке: успешных массовых атак на этом этапе не наблюдалось. Приоритет отдан государственным и финансовым сайтам, за ними идут логистика, порты, аэропорты и производство. Исправления вышли 21 октября, поэтому отдельной задачей стал отсев хостов, где обновление уже применили.

Описание

Сбор предполагалось вести по открытым источникам. Один из участников поручил собирать публичные баннеры и строки версий у всего, что объявляет себя PHP, и запретил активное сканирование. Хосты, которые выглядят плотно наблюдаемыми, следовало обходить. По данным CYFIRMA, которая вела наблюдение за закрытым каналом, второй участник отвечал за промежуточные узлы для размещения списков целей, а модели ИИ участники отводили на сортировку и проверку открытых материалов. Отобранные репозитории планировали проверять вручную в лабораторной среде.

Список целей делили по странам и отраслям. В переписке перечислены США, Япония, Таиланд, Индонезия, Корея, Австралия, Тайвань, Индия, Сингапур, ОАЭ, Саудовская Аравия и страны Евросоюза. Среди приоритетов названы также торговые компании, строительные фирмы и платформы онлайн-сделок. К 24 октября набор целей насчитывал 216 хостов, а для сканирования упоминался 21 адрес узлов. Конкретные жертвы не назывались, поэтому привязки к определённым организациям нет.

Эксплуатация проходит в памяти рабочего процесса PHP до запуска кода приложения. Собственных файлов такой сценарий не создаёт, поэтому поиск по следам на диске сам по себе ничего не даёт. Наблюдаемый признак - появление у веб-сервера или PHP-FPM дочерних процессов, которых там обычно не бывает: оболочки, загрузчика, интерпретатора. Второй признак - исполняемые файлы в каталогах временного хранения, появившиеся после 17 октября. Журналы приложений при этом чаще всего пусты, а запросная сторона даёт более шумные сигналы: необычные строки клиента, поле прогресса загрузки в теле многочастного (multipart) запроса, служебные маркеры. Устойчивость срабатывания зависит от аллокатора памяти, сборки, расширений и схемы рабочих процессов.

Для поиска последствий подготовлен набор правил YARA. Он охватывает сохранённые тела запросов, файлы сессий PHP, полезную нагрузку второй стадии и веб-оболочки, появившиеся после успешного выполнения кода. Набор компилируется с трактовкой предупреждений как ошибок и прошёл прогон на 72 синтетических случаях. На реальном коде приложений правила не проверялись, а часть из них срабатывает на самих файлах правил и на лентах данных об угрозах. Строковые совпадения вроде названия инструмента или служебного маркера меняются одной правкой, тогда как поведение процессов и содержимое файлов сессий устойчивее.

Дата запуска в переписке не называлась. Первый отфильтрованный список ожидался к 25 октября, а 24 октября его уже называли готовым. Попытки эксплуатации в живой среде фиксировались независимо от этой переписки, однако подтверждённых массовых успехов за группой нет. Уверенность в самой уязвимости и в факте активности высокая, а связь кампании с экосистемой Lazarus оценивается как умеренная: она опирается на язык общения, операционный рисунок и исторические практики, а не на совпадение инфраструктуры или инструментов.

Публичные эксплойты добавляют неопределённости. В открытом доступе есть несколько авторских реализаций, но их работоспособность и соответствие конкретным дефектам независимо не проверялись. Часть циркулирующих образцов - поддельные и распространяют вредоносное ПО. Ни один из описанных признаков не доказывает состоявшееся срабатывание: дочерний процесс веб-сервера появляется и по штатным причинам, а совпадение по адресам инфраструктуры служит поводом для проверки, а не подтверждением компрометации.

Индикаторы компрометации

YARA

import "hash"

rule PHP2Shell_SecondStage_ELF_SHA256 {

meta:

description = "Detects the PHP2Shell second-stage ELF x86-64 binary delivered by the observed loader"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Intelligence"

severity = "High"

hash = "0c5486f06620e26e316f4b33f318b0d646d5e1133789331aa2fed012360d1486"

source_note = "Single honeypot vendor, 21 Oct 2026; not independently corroborated"

scan_scope = "/tmp, /var/tmp, /dev/shm, web roots. The loader writes to /tmp and executes; the file may be deleted after launch"

condition:

uint32(0) == 0x464C457F and

filesize == 179632 and

hash.sha256(0, filesize) == "0c5486f06620e26e316f4b33f318b0d646d5e1133789331aa2fed012360d1486"

}

rule PHP2Shell_Captured_Request_Body_SHA256 {

meta:

description = "Matches saved PHP2Shell scanner and OOM-tool HTTP request bodies by SHA-256"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Intelligence"

severity = "Medium"

note = "Hashes of HTTP request bodies, not files. Matches only a body extracted byte-for-byte (PCAP, WAF or proxy capture); any change to boundary or field values changes the hash. A.4 is the durable alternative"

condition:

filesize < 2MB and

(

hash.sha256(0, filesize) == "43898a0a53bbd25d31ad9f5018ed3182be98a66109b22c9cab545a9fc447992a" or

hash.sha256(0, filesize) == "7bc41ed79a9ae909927a9e40701736460a8cb70fca16ce1510e58677aca764b6"

)

}

rule PHP2Shell_Infrastructure_IPs_In_Content {

meta:

description = "Finds PHP2Shell-associated IPs (six anonymisation-network IPs, three scanner/exploitation IPs and one payload staging host) in logs and other text content"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Intelligence"

severity = "Medium"

note = "ip1 to ip6 are shared anonymisation infrastructure; ip7 is the second-stage staging host; ip8 to ip10 were reported by a second sensor network (ip8 and ip9 scanning with the php2shell-scan user-agent, ip10 attempting both CVEs). A hit means investigate, not confirmed compromise. String matching only; not network connection detection. Will also match threat-intel feeds and exit-node lists stored on disk"

strings:

$ip1 = "103.216.220.92" ascii wide fullword

$ip2 = "31.223.184.166" ascii wide fullword

$ip3 = "37.19.200.5" ascii wide fullword

$ip4 = "134.209.159.64" ascii wide fullword

$ip5 = "103.114.163.188" ascii wide fullword

$ip6 = "95.217.98.37" ascii wide fullword

$ip7 = "92.118.112.100" ascii wide fullword

$ip8 = "85.11.167.243" ascii wide fullword

$ip9 = "45.198.224.169" ascii wide fullword

$ip10 = "109.71.252.97" ascii wide fullword

condition:

any of them

}

rule PHP2Shell_Request_Shape_In_Capture {

meta:

description = "PHP2Shell scanner/PoC strings or exploit request shape in captured HTTP requests"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Hunting"

severity = "Medium"

scan_scope = "Per-request captures: ModSecurity audit log entries, WAF/proxy body dumps, PCAP-extracted bodies. Counts aggregate across the whole file, so do not run the shape branch on multi-request logs"

note = "UA, boundary and marker strings come from honeypot and community reporting of public tooling and are trivially changed. JACKALPOC in a captured response (not request) indicates the validation command ran. The upload-progress field name is configurable (session.upload_progress.name)"

strings:

$ua1 = "php2shell-scan" ascii nocase

$ua2 = "php2shell-verify" ascii nocase

$ua3 = /php2shell-1096[0-9]{2}/ ascii nocase

$bnd1 = "----p2s" ascii

$bnd2 = "B7kQpoc619" ascii

$marker = "JACKALPOC" ascii

$field = "PHP_SESSION_UPLOAD_PROGRESS" ascii

$empty_file = "filename=\"\"" ascii

$array_part = /name="[A-Za-z0-9_]{1,32}\[\]"/ ascii

condition:

filesize < 20MB and

(

any of ($ua*, $bnd*, $marker) or

($field and #empty_file >= 10) or

($field and #array_part >= 100)

)

}

rule PHP2Shell_Log_Crash_Signatures {

meta:

description = "PHP error-log and PHP-FPM log lines consistent with PHP2Shell trigger attempts (pre-request OOM, session decode failure, worker segfault)"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Hunting"

severity = "Low"

note = "Side-effect indicators, not proof of exploitation. Derived from community lab testing (largely PHP CLI server; nginx/FPM/Apache mappings provisional). Correlate with multipart POSTs from the same source. A memory-limit fatal with memory_limit=-1 set is a strong signal"

strings:

$oom = /Allowed memory size of [0-9]{1,12} bytes exhausted[^\n]{0,200} in Unknown on line 0/ ascii

$decode = "Failed to decode session object" ascii

$segv = "exited on signal 11 (SIGSEGV)" ascii

condition:

$oom or ($decode and $segv)

}

rule PHP_Webshell_Input_To_Exec_Heuristic {

meta:

description = "PHP files that pass request input to command execution or code evaluation, use an execution function as a string callback, evaluate the raw request body, or open a reverse shell"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Behavioural Detection"

severity = "Medium"

note = "Post-exploitation webshell detection in web roots; not PHP2Shell-specific. Validate hits against legitimate application code"

strings:

// exec/system/eval with request input (optionally through a decoder)

// backtick operator executing request input

$backtick = /`[^`\n]{0,200}\$_(GET|POST|REQUEST|COOKIE)/

// variable function called with request input, e.g. $f($_REQUEST['x'])

$var_func = /\$[a-zA-Z_][a-zA-Z0-9_]*\s*\(\s*\$_(GET|POST|REQUEST|COOKIE)\s*\[/

// request input used as the function name, e.g. $_GET['f']($_GET['c'])

$input_func = /\$_(GET|POST|REQUEST|COOKIE)\s*\[[^\]\n]{1,40}\]\s*\(/

// execution function passed as a string callback, e.g. call_user_func('system', ...)

// (callback as first argument; method callbacks such as array($pdo, 'exec') are deliberately not matched)

// callback as second argument after an array variable

$str_cb2 = /(array_filter|array_walk|usort|uasort|uksort)\s*\(\s*\$[A-Za-z0-9_]{1,40}\s*,\s*['"](system|exec|shell_exec|passthru|popen|proc_open|assert)['"]/ nocase

// raw request body evaluated or included

// reverse shell: socket plus interactive shell

$fsock = /fsockopen\s*\(/ nocase

$shell_i = /\/bin\/(ba)?sh -i|\/dev\/tcp\//

condition:

filesize < 1MB and

any of ($php*) and

(

$backtick or

$var_func or

$input_func or

$str_cb1 or

$str_cb2 or

$php_input or

($fsock and $shell_i)

)

}

rule PHP_Suspicious_Command_Execution_Hunting {

meta:

description = "Broad hunting rule for PHP files combining command execution with shell paths, request input or decoding"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Hunting"

severity = "Low"

note = "Hunting only, not for alerting or blocking; expect false positives. Triage hits by location in the web root, ownership by the web-server or PHP worker account, and creation or modification on or after 17 Oct 2026"

strings:

// method calls (::exec), variables ($exec) and longer names (curl_exec, filesystem)

$exec1 = /[^A-Za-z0-9_>:$]shell_exec\s*\(/ nocase

$exec2 = /[^A-Za-z0-9_>:$]proc_open\s*\(/ nocase

$exec3 = /[^A-Za-z0-9_>:$]popen\s*\(/ nocase

$exec4 = /[^A-Za-z0-9_>:$]passthru\s*\(/ nocase

$exec5 = /[^A-Za-z0-9_>:$]system\s*\(/ nocase

$exec6 = /[^A-Za-z0-9_>:$]exec\s*\(/ nocase

$exec7 = /[^A-Za-z0-9_>:$]pcntl_exec\s*\(/ nocase

$shell1 = "/bin/sh" ascii

$shell2 = "/bin/bash" ascii

$shell3 = "sh -c" ascii nocase

$in1 = "$_GET[" ascii

$in2 = "$_POST[" ascii

$in3 = "$_REQUEST[" ascii

$in4 = "$_COOKIE[" ascii

$decode1 = /[^A-Za-z0-9_>:$]base64_decode\s*\(/ nocase

$decode2 = /[^A-Za-z0-9_>:$]eval\s*\(/ nocase

$decode3 = /[^A-Za-z0-9_>:$](gzinflate|gzuncompress|str_rot13)\s*\(/ nocase

condition:

filesize < 5MB and any of ($php*) and

(

(2 of ($exec*) and 1 of ($shell*)) or

(1 of ($exec*) and 1 of ($shell*) and 1 of ($in*)) or

(1 of ($exec*) and 1 of ($decode*) and 1 of ($in*)) or

// small file calling an execution function with request input anywhere (indirect webshells, e.g. $c=$_GET['c']; system($c);)

(filesize < 8KB and 1 of ($exec*) and 1 of ($in*)) or

// small file evaluating decoded request input indirectly, e.g. $p=base64_decode($_POST['p']); eval($p);

(filesize < 8KB and $decode2 and 1 of ($decode1, $decode3) and 1 of ($in*))

)

}

rule PHP2Shell_Public_PoC_Script {

meta:

description = "Scripts that reference PHP2Shell CVEs or tooling strings together with the upload-progress field"

author = "CYFIRMA Research"

date = "2026-10-22"

category = "Threat Hunting"

severity = "Low"

note = "Finds staged exploit tooling on compromised hosts or analyst systems. Security firms warned that circulating PoCs may contain malware; treat hits on analyst systems as possible infection too. Matches detection-content files holding the same strings; exclude rule repositories"

strings:

$field = "PHP_SESSION_UPLOAD_PROGRESS" ascii wide

$t1 = "php2shell" ascii wide nocase

$t2 = "CVE-2026-109618" ascii wide nocase

$t3 = "CVE-2026-109619" ascii wide nocase

$t4 = "B7kQpoc619" ascii wide

$t5 = "JACKALPOC" ascii wide

$code1 = "import requests" ascii

$code2 = "requests.post" ascii

$code3 = "socket.socket" ascii

$code4 = "curl_init" ascii

condition: