Dream-ի խոսքով՝ խոցված համակարգերից երեքը կապված էին ԱՄՆ կառավարության հետ․ հարձակվողն արտաքին միջցանցային էկրանի միջոցով հասել է ներքին սերվերի և գրոհել կազմակերպության օգտատերերի հաշիվների գրացուցակը։
Հարձակվողը համատեղել է PHP-ի և Linux-ի խոցելիությունները՝ ԱՄՆ-ում, Ճապոնիայում, Թայվանում և Հարավային Կորեայում գտնվող 25 սերվերի նկատմամբ root՝ վարչական վերահսկողության ամենաբարձր մակարդակի հասանելիություն ստանալու համար, հայտնել է իսրայելական կիբերանվտանգության Dream ընկերությունը։ Համակարգերից երեքը կապված էին ԱՄՆ կառավարության հետ, այդ թվում՝ միջցանցային էկրանների կառավարման ներքին սերվերը, որը հանրային հասանելիություն չուներ։
PHP2Shell-ի խոցելիությունները շահագործելու ավելի վաղ փորձերը սահմանափակ հաջողություն էին ունեցել․ հարձակվողները դժվարանում էին ցուցադրական կոդը վերածել հուսալի հարձակումների։ Dream-ի հետաքննությունը, որը հոկտեմբերի 28-ին մանրամասն ներկայացրել է The Hacker News-ը, նկարագրում է միջցանցային էկրանների կոնկրետ ծրագրային ապահովմանը հարմարեցված շահագործման գործիք։ Dream-ն այդ գործողությունները նկատել է 2026-ի հոկտեմբերի 25-ին։
PHP2Shell-ը ներառում է երկու խոցելիություն՝ CVE-2026-109618 և CVE-2026-109619, որոնք կարող են հարձակվողին թույլ տալ հեռավար գործարկել կոդ՝ առանց համակարգ մուտք գործելու։ Dream-ի խոսքով՝ այնուհետև հարձակվողն օգտագործել է Fragnesia-ն՝ CVE-2026-46300-ը, Linux-ի միջուկի՝ օպերացիոն համակարգի հիմքի խոցելիությունը, նախնական հասանելիությունը root արտոնությունների մակարդակի հասցնելու համար։
Dream-ը հայտնաբերված PHP2Shell շահագործման գործիքը նկարագրում է որպես հատուկ մշակված, ոչ հանրային տարբերակ, այլ ոչ թե հայտնի հանրային շահագործման կոդի պատճեն։ Այն թիրախավորել է միջցանցային էկրանի կառավարման սերվերում PHP-ի վերբեռնման ընթացքի հետևման մեխանիզմը։ Խոցված ծրագրային ապահովումն օգտագործել է PHP 8.0.30՝ հիշողության բարձր սահմանաչափով, ինչը հնարավոր է դարձրել շահագործման այն փուլերը, որոնց ընթացքում հարձակվողը փոփոխել է ծրագրի հիշողությունը։
Dream-ի խոսքով՝ հարձակվողն ավտոմատացված գործիքով գործարկել է համակցված շահագործման շղթան, ստուգել root հասանելիությունը և կոտրված յուրաքանչյուր միջցանցային էկրանի հանրային հասանելի գրացուցակում տեղադրել վեբ շել՝ հեռավար հասանելիություն ապահովող սցենար։
404 Media-ի հաղորդմամբ՝ կայքերը նախազգուշական կարգով անջատվել են այն բանից հետո, երբ հետազոտողները խոցելիություններ են հայտնաբերել կայքերի աշխատանքի համար օգտագործվող PHP ծրագրավորման լեզվում, իսկ կառավարությունները պահանջել են անհապաղ տեղադրել շտկումները։
2 րոպե
Dream-ը նկարագրում է թիրախների ընտրության մի քանի փուլ։ Հարձակվողն օգտագործել է համացանցին միացված համակարգերի որոնման FOFA ծառայությունը, ապա արդյունքները նեղացրել ըստ գտնվելու վայրի և ծրագրային ապահովման տարբերակի։ Հայտնաբերված ու ընտրված սարքերի թվերը տարբերվում են կոտրված համակարգերի ներկայացված թվից։
| Փուլ | Քանակ | Ինչ է նշանակում |
|---|---|---|
| Հայտնաբերում | Մոտ 19 000 | Ամբողջ աշխարհում հայտնաբերված միջցանցային էկրաններ, որոնց կառավարման միջերեսները բաց էին համացանցում։ |
| Տարբերակների ստուգում | Մոտ 5 000 | Սարքեր, որոնք վերադարձրել են ծրագրային ապահովման տարբերակի մասին տեղեկություն։ |
| Ընտրված թիրախներ | 240 | Չորս թիրախավորված վայրերում գտնվող համակարգեր, որոնք համապատասխանում էին PHP 8.0.30 օգտագործող թողարկումների ավելի նոր ճյուղերին։ |
| Ներկայացված կոտրված համակարգերը | 25 | Սերվերներ, որոնց նկատմամբ, Dream-ի խոսքով, հարձակվողը root հասանելիություն է ստացել, ներառյալ ներքին սերվերը։ |
Dream-ի վերակազմած իրադարձությունների համաձայն՝ կառավարության հետ կապված միջցանցային էկրաններից մեկը կոտրվել և ապա խափանվել է 2026-ի հոկտեմբերի 23-ին՝ UTC ժամանակով 18:14-ին։ Սարքն այլևս առցանց չի վերադարձել։ Հարձակվողը երկրորդ արտաքին համակարգի նկատմամբ root հասանելիություն է ստացել հոկտեմբերի 24-ին՝ UTC ժամանակով 10:09-ին։
Այդ երկրորդ համակարգից հարձակվողը ստեղծել է հակադարձ SSH թունել՝ գաղտնագրված կապ, որը կոտրված միջցանցային էկրանից ուղղվում էր դեպի հարձակվողի ենթակառուցվածք։ Dream-ի խոսքով՝ դա կայուն ուղի է ապահովել դեպի ներքին ցանց։ Նույն օրը՝ UTC ժամանակով 11:35-ին, հարձակվողն այդ ուղով և շահագործման նույն շղթայով կոտրել է միջցանցային էկրանների կառավարման ներքին սերվերը, որին հնարավոր էր հասնել միայն թունելի միջոցով։ Այդպիսով ընդհանուր թիվը հասել է 25-ի։
Dream-ի խոսքով՝ հայտնաբերված ապացույցները հաստատում են, որ կազմակերպության օգտատերերի հաշիվների Active Directory գրացուցակի դեմ հարձակումների ընթացքում մուտքի տվյալներ են կորզվել և օգտատերերի հաշիվների ցանկ է կազմվել։ Գործողությունները ներառել են նաև գրացուցակ մուտք գործելու համար օգտագործվող LDAP ծառայողական հաշվի գաղտնաբառը վերծանելու փորձեր։
Հարձակվողը նաև օգտատերերի տարբեր հաշիվներում փորձել է կազմակերպության հետ առնչվող գաղտնաբառեր․ այդ մեթոդը կոչվում է գաղտնաբառերի ցրված փորձարկում։ Նա փորձել է նաև հետագայում մուտք գործելու համար գաղտնի հաշիվներ ստեղծել։ Հայտնի չէ՝ արդյոք գաղտնաբառերի փորձարկմամբ գտնվել են վավեր մուտքի տվյալներ կամ ստեղծվել են գաղտնի հաշիվներ, ուստի ներխուժման ամբողջ ծավալը պարզ չէ։
Վերլուծություն
Dream-ը Չինաստանի հետ հնարավոր կապ է տեսնում՝ հաշվի առնելով, որ գործողությունը կենտրոնացած էր ԱՄՆ-ի, Ճապոնիայի, Թայվանի և Հարավային Կորեայի վրա։ Ընկերությունն այդ երկրները նկարագրում է որպես Չինաստանի պետության հետ կապվող գործողությունների ռազմավարական հետախուզական թիրախներ։ Այս գնահատականը չի մատնանշում հարձակվողների որևէ կոնկրետ խումբ և չի հաստատում կառավարության պատասխանատվությունը։
Dream-ը նաև նշաններ է տեսնում, որ գերբանականությունը (ԳԲ) կարող էր աջակցել հարձակման գործիքների մշակմանը։ Որպես ապացույց ընկերությունը մատնանշում է Anthropic-ի Claude Code-ի տեղադրումը, FOFA-ի ծրագրային միջերեսից օգտվելու բանալիները և aiscan հարձակողական անվտանգության հարթակը, որը կարգավորված էր DeepSeek և Kimi լեզվական մոդելներով։ Մոտ 40 սցենարի կառուցվածքը, մեկնաբանություններն ու միատեսակությունը նույնպես հուշում են մշակման ընթացքում աջակցության մասին, բայց չեն հաստատում, թե ԳԲ-ն ինքնուրույն է իրականացրել հարձակումը։
Dream-ի խոսքով՝ այն ծանուցել է խոցված միջցանցային էկրանի արտադրողին, որի անունը չի հրապարակվել։ ԱՄՆ կառավարության հետ կապված կազմակերպությունը նույնպես չի անվանվել։
Dream-ի խոսքով՝ root հասանելիությամբ կոտրված մյուս 22 միջցանցային էկրաններում դեռ ակտիվ վեբ շելեր կան։ Ընկերության գնահատմամբ՝ կառավարության հետ կապված միջավայր տանող թունելը, հավանաբար, նույնպես դեռ գործում է։ Dream-ը զգուշացնում է, որ հարձակվողը կարող է կրկին թիրախավորել հայտնաբերված մոտ 19 000 սարքերը, եթե օպերացիոն համակարգերի լրացուցիչ տարբերակների համար շահագործման եղանակներ մշակի։
Գործակալությունը հոկտեմբերի 26-ին երկու խոցելիություններն էլ ավելացրել է օգտագործված խոցելիությունների իր ցանկում՝ ԱՄՆ-ի դաշնային քաղաքացիական գերատեսչություններից պահանջելով շտկումները տեղադրել մինչև հոկտեմբերի 29-ը։
13 րոպե
Հասանելի են PHP-ի չորս շտկված թողարկումներ։ PHP 8.1 կամ ավելի հին տարբերակներ օգտագործողները պետք է թարմացնեն դրանք կամ մատակարարից ճշտեն իրենց տարբերակի համար շտկման առկայությունը։
10 րոպե
