Los intentos de explotación de PHP2Shell afectan a millones de usuarios, mientras los atacantes intentan propagar el malware Mirai

Se han re­gis­tra­do múl­ti­ples in­ten­tos de ata­que para apro­ve­char vul­ne­ra­bi­li­da­des de eje­cu­ción re­mo­ta de có­di­go en PHP, co­no­ci­das como PHP2Shell, con el fin de in­cor­po­rar sis­te­mas afec­ta­dos a una va­rian­te de la bot­net Mirai de­no­mi­na­da Po­tas­sium. Aun­que las em­pre­sas de ci­ber­se­gu­ri­dad han de­tec­ta­do mi­llo­nes de in­ten­tos de son­deo y ata­ques a es­ca­la glo­bal, los aná­li­sis in­di­can que ma­te­ria­li­zar una ex­plo­ta­ción exi­to­sa re­sul­ta más com­ple­jo de lo pre­vis­to de­bi­do a obs­tácu­los téc­ni­cos y de se­gu­ri­dad.

Di­fe­ren­tes fir­mas de la in­dus­tria han des­cu­bier­to con­jun­tos de he­rra­mien­tas y scripts de re­co­no­ci­mien­to en ser­vi­do­res con­tro­la­dos por ata­can­tes, di­se­ña­dos para eva­luar ver­sio­nes de PHP, con­fi­gu­ra­cio­nes de ser­vi­do­res y re­vi­sar pre­rre­qui­si­tos es­pe­cí­fi­cos de los ob­je­ti­vos. No obs­tan­te, las in­ves­ti­ga­cio­nes apun­tan a que los ata­can­tes han en­con­tra­do ba­rre­ras im­por­tan­tes como la alea­to­ri­za­ción de la dis­tri­bu­ción del es­pa­cio de di­rec­cio­nes (ASLR), aun­que ya se han de­sa­rro­lla­do nue­vas téc­ni­cas ca­pa­ces de sor­tear esta pro­tec­ción en en­tor­nos de pro­duc­ción.

Como me­di­da pre­ven­ti­va ante la gra­ve­dad de los fa­llos, va­rias ins­ti­tu­cio­nes y go­bier­nos en di­fe­ren­tes re­gio­nes han des­co­nec­ta­do tem­po­ral­men­te ser­vi­cios di­gi­ta­les y si­tios web mien­tras apli­can ac­tua­li­za­cio­nes. Dado que el pro­ble­ma re­si­de di­rec­ta­men­te en el motor de PHP y no en las apli­ca­cio­nes in­di­vi­dua­les, los ex­per­tos ad­vier­ten que las or­ga­ni­za­cio­nes po­drían per­ma­ne­cer ex­pues­tas du­ran­te un largo pe­rio­do, es­pe­cial­men­te aque­llas que ope­ran ver­sio­nes de PHP que ya no cuen­tan con so­por­te ofi­cial.