PHP2Shell Exploitation Hits Government Entity Amid Global Scanning and Signs of AI-Assisted Hacking

Se han de­tec­ta­do ci­ber­de­lin­cuen­tes uti­li­zan­do pla­ta­for­mas de in­te­li­gen­cia ar­ti­fi­cial con ca­pa­ci­dad de agen­cia para rea­li­zar ac­ti­vi­da­des pos­te­rio­res a la ex­plo­ta­ción, apro­ve­chan­do fa­llos de se­gu­ri­dad en PHP co­no­ci­dos como PHP2Shell. Du­ran­te un ata­que di­ri­gi­do a una en­ti­dad gu­ber­na­men­tal eu­ro­pea, los in­tru­sos ac­ce­die­ron a hashes de con­tra­se­ñas y se­cre­tos de au­ten­ti­ca­ción mul­ti­fac­tor en cues­tión de horas, ade­más de es­ta­ble­cer un túnel de re­trans­mi­sión NTLM hacia Ac­ti­ve Di­rec­tory e in­ten­tar es­ca­lar pri­vi­le­gios. Los co­man­dos eje­cu­ta­dos por los ata­can­tes pre­sen­ta­ban de­li­mi­ta­do­res di­se­ña­dos para que un mo­de­lo de in­te­li­gen­cia ar­ti­fi­cial pu­die­ra pro­ce­sar fá­cil­men­te la in­for­ma­ción ob­te­ni­da du­ran­te el re­co­no­ci­mien­to.

Pa­ra­le­la­men­te, se ha des­cu­bier­to una cam­pa­ña de son­deo glo­bal con­tra la in­fra­es­truc­tu­ra de PHP uti­li­zan­do nodos com­pro­me­ti­dos para rea­li­zar un es­ca­neo lento y de bajo vo­lu­men con el fin de evi­tar aler­tas ba­sa­das en um­bra­les. Esta ac­ti­vi­dad ha sido vin­cu­la­da con un grado mo­de­ra­do de con­fian­za a ope­ra­do­res que ha­blan co­reano y es­ta­rían re­la­cio­na­dos con el eco­sis­te­ma del Grupo La­za­rus, em­plean­do ca­na­les ce­rra­dos para com­par­tir lis­tas de ob­je­ti­vos y coor­di­nar ac­cio­nes. Los blan­cos de estos son­deos in­clu­yen una gran can­ti­dad de hosts no par­chea­dos o par­cial­men­te mi­ti­ga­dos en múl­ti­ples re­gio­nes, afec­tan­do a sec­to­res como el gu­ber­na­men­tal, fi­nan­cie­ro, lo­gís­ti­co y de ma­nu­fac­tu­ra.