Атакующие применили PHP2Shell против европейского госоргана
По данным Palo Alto Networks Unit 42, в течение двух часов после первоначальной эксплуатации злоумышленники получили хеши паролей и секреты многофакторной аутентификации. Характер команд указывает, что на этапе действий в скомпрометированной сети мог использоваться агентный ИИ.
Злоумышленники использовали критические уязвимости PHP2Shell — CVE-2026-109618 и CVE-2026-109619 — для атаки на государственную организацию в Европе, сообщает подразделение Palo Alto Networks Unit 42. По его данным, в течение двух часов после первоначального проникновения атакующие получили доступ к хешам паролей и секретам многофакторной аутентификации.
После этого они создали туннель NTLM-relay к Active Directory и попытались повысить привилегии до уровня Domain Admin. Специалисты также зафиксировали сбор сведений о скомпрометированном узле: атакующие искали данные об интеграции DNS и Active Directory, внутренних хостах, привилегированных группах и активных пользователях, а также выполняли анонимные LDAP-запросы к контроллеру домена.
Unit 42 считает, что часть действий после проникновения могла выполняться с помощью агентного ИИ. На это, в частности, указывает оформление пакетов команд: результаты разделялись маркерами вроде ==SHELLUSER== и ==PASSWD==, чтобы их было удобно автоматически разбирать модели.
Отдельно компания CYFIRMA сообщила о кампании, которую с умеренной уверенностью связывает с оператором, входящим в экосистему Lazarus Group. По её оценке, 21 скомпрометированный узел используется для медленного сканирования PHP-инфраструктуры по всему миру. Среди 216 не обновлённых либо лишь частично защищённых хостов, как утверждает CYFIRMA, есть системы организаций из государственного и финансового секторов, логистики, авиации, промышленности и онлайн-платежей.
Исследователи отмечают, что сканирование ведётся небольшими темпами: узлы ротируются и отключаются при признаках блокировки или ограничения запросов. Такая тактика может обходить системы обнаружения, рассчитанные на превышение заданных порогов активности.
Обе уязвимости PHP2Shell допускают удалённое выполнение кода в стандартных конфигурациях PHP. Cloudflare, по данным The Hacker News, после их публичного раскрытия зафиксировала миллионы попыток эксплуатации. ReliaQuest рекомендует защитникам искать характерную последовательность в журналах: POST-запрос с ответом 500, сообщения PHP об исчерпании памяти и повреждении кучи, а затем сбой обрабатывавшего запрос Apache-процесса.