A corrida para corrigir duas vulnerabilidades críticas na linguagem de programação PHP, iniciada na quarta-feira, já não conseguiu impedir todos os ataques. Informações recém-divulgadas revelam que criminosos virtuais aproveitaram as falhas semanas antes mesmo de qualquer correção ser anunciada publicamente.
A empresa Amazon Web Services publicou uma pesquisa na noite de quarta-feira revelando que pelo menos um agente malicioso começou a tentar explorar as vulnerabilidades, conhecidas coletivamente como PHP2Shell, no dia 17 de outubro, quatro dias antes da divulgação pública das correções. Os analistas da AWS detectaram essa atividade ao analisarem registros de um de seus chamados "honeypots", que são servidores web propositalmente vulneráveis usados para estudar métodos e tendências de ataques.
A tentativa de exploração detectada partiu de um endereço de protocolo de internet associado a uma rede comercial de anonimização, essencialmente uma rede privada virtual ou serviço de proxy. "Embora a vulnerabilidade estivesse sob embargo de divulgação, a mira a um honeypot a partir de um endereço IP anonimizado sugere que a atividade foi conduzida por um ator malicioso, embora permaneça incerto como esse ator obteve informações sobre a exploração antes da divulgação", escreveu CJ Moses, diretor de segurança da informação da AWS, na publicação da pesquisa.
Elizabeth Barron, diretora executiva da Fundação PHP, informou que a organização não tinha conhecimento da pesquisa da AWS antes da publicação e não pôde comentar imediatamente as descobertas. Ela completou: "Embora concordemos que a atualização é absolutamente imperativa, pelo nosso conhecimento, não houve nenhuma tentativa bem-sucedida de execução remota de código".
Provas de conceito dos exploits para PHP2Shell começaram a surgir publicamente na quarta-feira, algumas aparecendo horas antes da divulgação às 10h no horário da costa leste. Nas horas que antecederam a divulgação, os pesquisadores da AWS relatam que seus honeypots foram atingidos por múltiplas tentativas de exploração, anonimizadas usando vários provedores e aparentemente com diferentes objetivos de ataque, indicando provavelmente vários atores distintos.
A AWS enfatiza que as descobertas evidenciam como a divulgação coordenada de vulnerabilidades precisa evoluir e acelerar, considerando o acesso global a ferramentas de inteligência artificial que podem acelerar a análise de falhas e permitir que atores menos técnicos desenvolvam rapidamente novos exploits. "O tempo entre a correção e um exploit funcional está diminuindo por razões estruturais", escreveu Moses. "No passado, a maioria das explorações que observamos ocorreu após a liberação pública de uma prova de conceito. Um pequeno número de atores capacitados construía exploits, e todos os outros esperavam por eles. Essa dependência está enfraquecendo. A análise assistida por inteligência artificial torna mais barato transformar uma diferença de correção ou comunicado em um exploit funcional. Como resultado, mais atores podem agir dentro de horas ou até minutos após os detalhes técnicos de uma vulnerabilidade serem divulgados."
Fonte: Feed: All Latest
