China-Linked Hackers Exploit PHP2Shell to Root Firewalls

Una em­pre­sa de ci­ber­se­gu­ri­dad ha de­tec­ta­do a un grupo de pi­ra­tas in­for­má­ti­cos vin­cu­la­dos a China apro­ve­chan­do vul­ne­ra­bi­li­da­des en PHP2Shell para con­se­guir ac­ce­so de su­per­usua­rio (root) en cor­ta­fue­gos, ins­ta­lan­do ade­más webshells con el fin de man­te­ner per­sis­ten­cia. Las ope­ra­cio­nes des­cu­bier­tas com­bi­nan la ex­plo­ta­ción de dos fa­llos en PHP con una vul­ne­ra­bi­li­dad de es­ca­la­da de pri­vi­le­gios en el nú­cleo de Linux co­no­ci­da como Frag­ne­sia.

Para lle­var a cabo los ata­ques, los ci­ber­de­lin­cuen­tes em­plea­ron un motor chino de bús­que­da de ac­ti­vos en in­ter­net para lo­ca­li­zar dis­po­si­ti­vos ex­pues­tos de un fa­bri­can­te en con­cre­to, se­lec­cio­nan­do un grupo ini­cial de miles de cor­ta­fue­gos. Pos­te­rior­men­te, apli­ca­ron fil­tros geo­grá­fi­cos para des­car­tar cier­tas re­gio­nes y tam­bién ex­clu­ye­ron aque­llas má­qui­nas que uti­li­za­ban ver­sio­nes más re­cien­tes de PHP, re­du­cien­do sig­ni­fi­ca­ti­va­men­te la can­ti­dad de ob­je­ti­vos po­ten­cia­les antes de lan­zar he­rra­mien­tas au­to­ma­ti­za­das con la ca­de­na com­ple­ta de ex­ploits.

Una vez lo­gra­do el ac­ce­so en los equi­pos com­pro­me­ti­dos, los ata­can­tes avan­za­ron sobre dos ser­vi­do­res vin­cu­la­dos a un en­torno del go­bierno es­ta­dou­ni­den­se. Para con­ser­var el con­trol, es­ta­ble­cie­ron un túnel SSH in­ver­so y ata­ca­ron un ser­vi­dor in­terno de ad­mi­nis­tra­ción de cor­ta­fue­gos, lo que les per­mi­tió ob­te­ner cre­den­cia­les, con­fi­gu­ra­cio­nes y datos de ac­ce­so, ade­más de rea­li­zar enu­me­ra­cio­nes de usua­rios, ata­ques de de­ne­ga­ción o adi­vi­na­ción de con­tra­se­ñas y ma­nio­bras para crear cuen­tas de res­pal­do en el di­rec­to­rio ac­ti­vo.

El in­for­me de se­gu­ri­dad se­ña­la que, aun­que no se ha po­di­do asig­nar la au­to­ría a un grupo es­pe­cí­fi­co, las ca­rac­te­rís­ti­cas de la cam­pa­ña y los paí­ses se­lec­cio­na­dos como blan­co apun­tan hacia ope­ra­cio­nes ci­ber­né­ti­cas ali­nea­das con los in­tere­ses es­ta­ta­les de China en la re­gión del Pa­cí­fi­co.