AWS: תוקף ניסה לנצל את פרצות PHP2Shell ארבעה ימים לפני שנחשפו
לפי מחקר של AWS שדווח ב-Wired, ניסיון ניצול של שתי הפרצות הקריטיות ב-PHP זוהה כבר ב-17 באוקטובר, ארבעה ימים לפני שהתיקונים פורסמו. עכשיו הפרצות מנוצלות באופן נרחב, ו-AWS מעריכה שכלי AI מקצרים את הזמן שעובר מפרסום תיקון ועד שיש exploit שעובד.
התיקונים לשתי הפרצות הקריטיות ב-PHP, שפורסמו ביום רביעי, לא הקדימו את כל התוקפים. לפי דיווח ב-Wired, חוקרי Amazon Web Services (AWS) זיהו ניסיון לנצל את הפרצות, המכונות יחד PHP2Shell, כבר ב-17 באוקטובר. זה ארבעה ימים לפני החשיפה הפומבית. לדברי AWS, הפרצות מנוצלות עכשיו "באופן נרחב" ברחבי האינטרנט.
הניסיון שהתגלה רק בדיעבד
PHP היא שפת סקריפטים נפוצה מאוד לבניית אתרים ואפליקציות web. לכן פרסום התיקונים ביום רביעי פתח מרוץ: מנהלי מערכות וצוותי אבטחה מיהרו לאתר את האתרים הפגיעים ולעדכן אותם, ובמקביל תוקפים ניתחו את התיקונים כדי להבין איך לנצל את הפרצות. לפי Wired, ממשלות מסוימות וגופים אחרים אף הורידו מראש אתרים חשובים מהרשת לקראת הפרסום, כדי שלא יותקפו לפני שיספיקו להתקין את העדכונים.
הניסיון מ-17 באוקטובר התגלה רק ביום רביעי, כשאנליסטים של AWS עברו על הפעילות שנרשמה באחד ה-honeypots שלהם. אלה שרתים פגיעים בכוונה, שמשמשים פיתיון וכלי מחקר לשיטות תקיפה. מקור הניסיון היה כתובת IP שלפי AWS קשורה ל"רשת אנונימיזציה מסחרית", כלומר רשת פרוקסי או VPN.
"בזמן שהפרצה הייתה תחת אמברגו, תקיפת honeypot מכתובת IP אנונימית מרמזת שהפעילות בוצעה בידי גורם תוקף, אף שעדיין לא ברור איך השיג מידע על ה-exploit לפני החשיפה", כתב CJ Moses, מנהל אבטחת המידע הראשי (CISO) של AWS, בפוסט המחקר. אמברגו, בהקשר הזה, הוא תקופה שבה המידע על פרצה נשמר בסוד עד שמוכן תיקון.
גל ניסיונות סביב שעת החשיפה
הוכחות היתכנות (proof-of-concept), כלומר קוד שמדגים איך מנצלים את הפרצה, התחילו להופיע בפומבי ביום רביעי. חלקן, כך נראה, הופיעו כמה שעות לפני החשיפה הרשמית ב-10 בבוקר שעון החוף המזרחי בארה"ב. לדברי AWS, בשעות שקדמו לחשיפה ה-honeypots שלה ספגו כמה ניסיונות ניצול. הם הגיעו דרך ספקי אנונימיזציה שונים, וככל הנראה היו להם מטרות שונות. לפי החברה, זה מעיד כנראה על כמה גורמים נפרדים. "הניתוח הטכני נמשך, ולא ברור אם אחד מהניסיונות האלה היה מצליח במערכות אמיתיות", כתב Moses.
קרן PHP (PHP Foundation) לא הגיבה מיד לפניית Wired.
למה זה חשוב: החלון מצטמצם
בכתבה הקודמת שלנו סיקרנו את הדיווחים על כך שמודל AI גילה את הפרצות. ההתפתחות הנוכחית מראה צד נוסף של אותה מגמה. AWS מדגישה שעדיין לא ברור איך התרחש הניסיון מ-17 באוקטובר ומי עומד מאחוריו. עם זאת, לדבריה הממצאים מראים שתהליך החשיפה המתואמת של פרצות (coordinated vulnerability disclosure) צריך להשתנות ולהאיץ. הסיבה, לפי החברה, היא שכלי AI זמינים לכולם: הם מאיצים ניתוח של פרצות ומאפשרים גם לגורמים בעלי ידע טכני מוגבל לפתח exploits חדשים במהירות.
"הזמן שעובר מהתיקון ועד ל-exploit עובד מתקצר מסיבות מבניות", כתב Moses. "בעבר, רוב הניצול שראינו הגיע אחרי שפורסמה הוכחת היתכנות פומבית. מספר קטן של גורמים מיומנים בנו exploits, וכל השאר חיכו להם. התלות הזאת נחלשת. ניתוח בסיוע AI מוזיל את ההפיכה של diff של תיקון או של הודעת אבטחה ל-exploit עובד. כתוצאה מכך, יותר גורמים יכולים לפעול תוך שעות או אפילו דקות מרגע שהפרטים הטכניים של פרצה נחשפים".
המשמעות, ככל הנראה, היא שהמרווח שהיה לארגונים בין פרסום תיקון לבין תחילת התקיפות כמעט נעלם. מי שמחזיק שרתים שמריצים PHP צריך כנראה להתייחס לעדכון כאל משימה דחופה. התוקפים כבר לא מחכים שמישהו אחר יפרסם קוד ניצול.