AWS зафіксувала спроби експлуатації PHP2Shell за чотири дні до виправлень

Amazon Web Services зафіксувала спроби використати критичні вразливості PHP, відомі під спільною назвою PHP2Shell, ще 17 жовтня — за чотири дні до публічного розкриття проблем і виходу виправлень. Це встановили аналітики AWS, ретроспективно перевіривши активність на власній пастці для зловмисників — навмисно вразливому сервері.

Спроби до розкриття вразливостей

Як повідомляє Wired, спроба атаки 17 жовтня надійшла з IP-адреси, яку AWS пов’язує з комерційною мережею анонімізації — проксі-мережею або VPN. Директор з інформаційної безпеки AWS Сі Джей Мозес заявив, що використання анонімізованої IP-адреси під час дії ембарго на відомості про вразливість вказує на діяльність зловмисника. Водночас походження інформації для експлуатації до її публічного розкриття лишається нез’ясованим.

Виправлення для двох критичних вразливостей PHP оприлюднили в середу, 21 жовтня. Після цього адміністратори та фахівці з безпеки почали шукати вразливі сайти й застосунки, щоб встановити оновлення. Деякі урядові та інші організації завчасно відключали важливі сайти, очікуючи на реліз виправлень.

Експлуатація після публікації

Публічні демонстраційні коди для експлуатації PHP2Shell почали з’являтися в середу; деякі з них, за даними AWS, з’явилися за кілька годин до публічного оголошення о 10:00 за східним часом США. У години перед розкриттям у пастки AWS надходили численні спроби атак через різних постачальників анонімізації та, ймовірно, з різними цілями. Це може свідчити про участь кількох різних суб’єктів, зазначили в компанії.

AWS продовжує технічний аналіз і не встановила, чи були б ці спроби успішними в реальних системах. Водночас Мозес повідомив, що PHP2Shell нині «широко експлуатується» в інтернеті. За його словами, інструменти штучного інтелекту пришвидшують аналіз оновлень і технічних повідомлень, скорочуючи час між появою виправлення та створенням робочого експлойту.