PHP2Shell эксплуатировали за четыре дня до публичного раскрытия уязвимостей PHP

К подтверждённым индикаторам относятся сами обращения к сенсорам MadPot. Тип артефакта здесь - сетевой адрес источника, принадлежащий сервису анонимизации трафика. Другой тип - публичные эксплойты, демонстрирующие работоспособность уязвимости: самый ранний появился около 02:00 UTC 21 октября, примерно за двенадцать часов до снятия эмбарго. Третий тип - вредоносные полезные нагрузки, состав которых различался между попытками. Все три группы описывают инфраструктуру атаки, а не признаки компрометации конкретных систем.

Набор предполагаемых индикаторов шире. По данным Amazon Threat Intelligence, различия в полезных нагрузках и в выбранных средствах анонимизации указывают на нескольких атакующих. К признакам активности отнесли POST-запросы с составной загрузкой файлов и полем прогресса сессии в теле формы. Остаётся неясным, как участники получили сведения об эксплойте до раскрытия уязвимостей. Не установлено и то, привели ли зафиксированные попытки к успеху на реальных системах; технический анализ продолжается.

Хронология показывает сжатие окна между выходом исправления и рабочим эксплойтом. В интервале с 02:00 до 08:00 UTC 21 октября приманки MadPot приняли дополнительные обращения с другой анонимизированной инфраструктуры. После снятия эмбарго и выпуска исправленных версий PHP новые PoC-эксплойты появлялись в течение часов. Уязвимость перешла в категорию широко эксплуатируемых в реальных атаках. Исправленные сборки PHP вышли одновременно со снятием эмбарго, а настроек, которые закрывают обе уязвимости без обновления, не описано.

Сокращение сроков связывают с удешевлением анализа патчей и рекомендаций при помощи ИИ-инструментов. Действовать в первые часы после раскрытия технических деталей теперь может больше атакующих, чем раньше. Ранее большая часть наблюдаемых эксплуатаций следовала за публикацией публичного эксплойта, теперь эта зависимость слабеет. Касается это прежде всего PHP-развёртываний, доступных из интернета. Владелец сети приманок называет 17 октября нижней границей для ретроспективного анализа.

Инфраструктура наблюдения описана как источник раннего обнаружения попыток эксплуатации. Владелец приманок сообщил об автоматическом обнаружении и ограничении вредоносных сканирований, нацеленных на эти уязвимости, в своей инфраструктуре. Объём обрабатываемых событий измеряется сотнями миллиардов в минуту, и сведения об угрозах из этой сети применяются при фильтрации трафика. Для сторонних организаций такие возможности недоступны, поэтому картина у них будет опираться на собственные журналы.

Описанные индикаторы не показывают картину целиком. Телеметрия приманок отражает взаимодействие с сенсорами, а не подтверждённые компрометации реальных систем. Сведений о числе пострадавших и затронутых отраслях в разборе нет.

Ложные срабатывания возможны по обеим группам признаков. Адреса сетей анонимизации используют и добросовестные клиенты, а поле прогресса сессии встречается в легитимных приложениях. До публичного раскрытия сигнатур для этих уязвимостей не существовало, поэтому часть ранних обращений могла остаться вне журналов. Значения вредоносных полезных нагрузок и перечень адресов в открытом разборе не приводятся.