PHP2Shell Attack Roots 25 Servers, Breaches U.S. Government-Affiliated Network
Un grupo de atacantes, presuntamente vinculado a China, llevó a cabo una campaña ofensiva utilizando vulnerabilidades conocidas como PHP2Shell y un fallo de escalada de privilegios en el núcleo de Linux llamado Fragnesia. Los investigadores de ciberseguridad detectaron esta actividad, la cual combinó dichos fallos para comprometer sistemas con interfaces de administración expuestas, logrando controlar veinticinco servidores en total. Entre los equipos afectados se encuentran tres sistemas vinculados a una organización gubernamental de Estados Unidos, además de dispositivos localizados en Japón, Taiwán y Corea del Sur.
La infraestructura utilizada por los agresores mostró indicios de haber sido desarrollada con asistencia de inteligencia artificial, ya que se hallaron herramientas como Claude Code, claves de API para plataformas de escaneo y configuraciones que empleaban modelos de lenguaje avanzado. El proceso incluyó la identificación global de dispositivos vulnerables mediante motores de búsqueda, el filtrado de versiones específicas de software de cortafuegos y la ejecución automatizada de la cadena de explotación para desplegar puertas traseras e infiltrarse en los servicios de directorio activo de la red gubernamental.
A pesar de las acciones de enumeración de usuarios y extracción de credenciales realizadas por los atacantes en Active Directory, los investigadores señalan que todavía no se puede determinar el alcance total de la brecha, ya que no está claro si lograron obtener acceso legítimo o crear cuentas falsas de respaldo. La firma de ciberseguridad responsable del descubrimiento notificó al fabricante afectado, advirtiendo sobre el peligro que representan las interfaces expuestas y señalando que el túnel persistente y los servidores con puertas traseras continúan representando una amenaza latente.