Η ΞΕΦΡΕΝΗ ΠΡΟΣΠΑΘΕΙΑ που έγινε στο Διαδίκτυο την Τετάρτη για την επιδιόρθωση δύο κρίσιμων bugs στο PHP, μια ευρέως χρησιμοποιούμενη γλώσσα προγραμματισμού, ήρθε ήδη πολύ αργά για να αποτρέψει όλες τις επιθέσεις, όπως αποκαλύπτουν πρόσφατα δημοσιευμένα στοιχεία.
Η κυκλοφορία την Τετάρτη των διορθώσεων για δύο κρίσιμα bugs στο PHP οδήγησε τους διαχειριστές και το προσωπικό ασφαλείας σε μια κούρσα για τον εντοπισμό και την επιδιόρθωση ευάλωτων ιστότοπων και εφαρμογών, ενώ οι επιτιθέμενοι αναπόφευκτα προχώρησαν σε αντίστροφη μηχανική των διορθώσεων για να μάθουν πώς να εκμεταλλευτούν τα κενά. Ορισμένες κυβερνήσεις και άλλες ομάδες προχώρησαν μάλιστα προληπτικά στην απενεργοποίηση σημαντικών ιστότοπων εν αναμονή της κυκλοφορίας, ώστε να μην αποτελέσουν στόχο πριν προλάβουν να εφαρμόσουν τις ενημερώσεις.
Ωστόσο, εκτός από την ανίχνευση τέτοιων ενεργειών την Τετάρτη, έρευνα που δημοσιεύθηκε το βράδυ της Τετάρτης από την Amazon Web Services υποδεικνύει ότι τουλάχιστον ένας δράστης είχε αρχίσει να επιχειρεί να εκμεταλλευτεί τα σφάλματα -γνωστά ως PHP2Shell- ήδη από τις 17 Οκτωβρίου, τέσσερις ημέρες πριν από τις δημόσιες αποκαλύψεις της Τετάρτης.
Οι αναλυτές της AWS εντόπισαν την επίθεση της 17ης Οκτωβρίου την Τετάρτη, ενώ εξέταζαν εκ των υστέρων τη δραστηριότητα σε ένα από τα λεγόμενα «honeypots» τους, δηλαδή servers που έχουν σκόπιμα αφήσει ευάλωτους ή άλλα ψηφιακά δολώματα που βοηθούν τους ερευνητές να μελετήσουν τις μεθόδους και τις τάσεις των επιθέσεων. Η απόπειρα προήλθε από μια διεύθυνση IP που, σύμφωνα με την AWS, συνδέεται με ένα «εμπορικό δίκτυο ανωνυμοποίησης», με άλλα λόγια ένα δίκτυο διακομιστών μεσολάβησης (proxy) ή VPN.
«Ενώ η δυσλειτουργία βρισκόταν υπό εμπάργκο, η στοχοποίηση ενός honeypot από μια ανώνυμη διεύθυνση IP υποδηλώνει ότι η δραστηριότητα διεξήχθη από έναν κακόβουλο δράστη, αν και παραμένει ασαφές πώς ο δράστης απέκτησε πληροφορίες εκμετάλλευσης πριν από τη δημοσιοποίηση», έγραψε ο CJ Moses, διευθυντής ασφάλειας πληροφοριών της AWS, στην ερευνητική ανάρτηση.
Εκμεταλλεύσεις «proof-of-concept» για το PHP2Shell άρχισαν να εμφανίζονται δημόσια την Τετάρτη, με ορισμένες να φαίνεται ότι εμφανίστηκαν ώρες πριν από τη δημόσια αποκάλυψη στις 10 π.μ. (ώρα Ανατολικής Ακτής). Τις ώρες που προηγήθηκαν της αποκάλυψης, οι ερευνητές της AWS αναφέρουν ότι τα honeypots τους δέχθηκαν πολλαπλές απόπειρες εκμετάλλευσης, οι οποίες είχαν ανωνυμοποιηθεί μέσω διαφόρων παρόχων και φαινόταν να έχουν διαφορετικούς στόχους επίθεσης, κάτι που πιθανώς υποδηλώνει την ύπαρξη πολλών διαφορετικών δραστών. «Η τεχνική ανάλυση βρίσκεται σε εξέλιξη και δεν είναι σαφές αν κάποια από αυτές τις απόπειρες θα είχε επιτύχει σε πραγματικά συστήματα», έγραψε ο Moses.
Το Ίδρυμα PHP δεν απάντησε αμέσως στο αίτημα του WIRED για σχόλιο.
Αν και δεν είναι σαφές πώς συνέβη η εκμετάλλευση της 17ης Οκτωβρίου ή από πού προήλθε, η AWS τονίζει ότι τα ευρήματα υπογραμμίζουν πόσο πρέπει να εξελιχθεί και να επιταχυνθεί η συντονισμένη δημοσιοποίηση αδυναμιών, δεδομένης της παγκόσμιας πρόσβασης σε εργαλεία τεχνητής νοημοσύνης που μπορούν να επιταχύνουν την ανάλυση τέτοιων θεμάτων και να επιτρέψουν σε άτομα με λιγότερες τεχνικές γνώσεις να αναπτύξουν γρήγορα νέες μεθόδους εκμετάλλευσης.
«Ο χρόνος που μεσολαβεί από την κυκλοφορία της ενημερωμένης έκδοσης έως τη δημιουργία ενός λειτουργικού exploit μειώνεται για δομικούς λόγους», έγραψε ο Moses. «Στο παρελθόν, τα περισσότερα κακόβουλα λογισμικά που παρατηρούσαμε εμφανίζονταν μετά τη δημοσίευση μιας δημόσιας απόδειξης της εφικτότητας (proof of concept). Ένας μικρός αριθμός ικανών ατόμων δημιουργούσε κακόβουλα λογισμικά, ενώ όλοι οι άλλοι περίμεναν να τα λάβουν. Αυτή η εξάρτηση εξασθενεί. Η ανάλυση με τη βοήθεια της τεχνητής νοημοσύνης καθιστά φθηνότερο το να μετατραπεί μια διαφορά ενημερωμένης έκδοσης (patch diff) ή μια συμβουλευτική ανακοίνωση σε λειτουργικό κακόβουλο λογισμικό.. Ως αποτέλεσμα, περισσότεροι χρήστες μπορούν να δράσουν μέσα σε λίγες ώρες ή ακόμη και λεπτά, μόλις αποκαλυφθούν οι τεχνικές λεπτομέρειες μιας αδυναμίας.»
To άρθρο δημοσιεύθηκε στο WIRED US και μεταφράστηκε από τα αγγλικά.
Με την εγγραφή σας, συμφωνείτε με τους Όρους Χρήσης μας (συμπεριλαμβανομένης της παραίτησης από ομαδικές αγωγές και των διατάξεων διαιτησίας) και αναγνωρίζετε την Πολιτική Απορρήτου μας.
