Özel PHP2Shell zinciri ABD kamu sunucuları dahil 25 sistemi ele geçirdi

Siber güvenlik şirketi Dream araştırmacıları, PHP2Shell uzaktan kod çalıştırma açığı ile Linux çekirdeğindeki Fragnesia ayrıcalık yükseltme zafiyetini birleştiren bir saldırı zinciri tespit etti. Güvenlik duvarı yazılımlarını hedef alan saldırganlar, kimlik doğrulaması gerektirmeyen tek bir HTTP isteğiyle aralarında ABD kamu kurumlarıyla bağlantılı sistemlerin de bulunduğu toplam 25 sunucuda en üst düzey yetki (root) elde etti. Olayın, Çin kaynaklı ve yapay zeka destekli araçlar kullanan bir operasyon olduğu değerlendiriliyor.

Saldırganlar, internete açık yönetim arayüzlerini tarayarak tespit ettikleri 19 bin cihaz arasından ABD, Japonya, Tayvan ve Güney Kore'deki hedeflere odaklandı. İncelemelere göre, farklı işletim sistemi sürümleri için önceden hazırlanan 11 ayrı bellek profili kullanılarak 24 güvenlik duvarına otomatik olarak webshell yerleştirildi. Ele geçirilen cihazlar arasındaki bir ABD kamu kuruluşuna ait güvenlik duvarı üzerinden iç ağa sızan saldırganlar, merkezi yönetim sunucusunu da aynı yöntemle ele geçirerek toplam kurban sayısını 25'e çıkardı.

Yönetim sunucusunda kalıcı ters SSH tüneli kuran saldırganlar, kurumun Active Directory dizin altyapısına yönelik kapsamlı bir sızma girişimi başlattı. Düz metin olarak elde edilen LDAP hizmet hesabı parolasıyla tüm kullanıcı ve grup listeleri toplandı; hesap kilitleme eşiği bulunmayan sistem üzerinde parola denemeleri yapıldı. Araştırmacılar, güvenlik duvarı üreticisine bilgi verildiğini ve internete açık yönetim arayüzlerinin kurum kimlik altyapısı için ciddi risk oluşturduğunu bildirdi.