Cibermarcaa: "Dos operadores que hablan coreano discutieron lista de objetivos de primer ataque hasta el 25 de octubre"
Corea del Sur es la región prioritaria en gobierno y finanzas... PHP 8.1 o inferior no tiene actualizaciones de seguridad oficiales
Piratas informáticos presuntamente vinculados a Corea del Norte que utilizan el idioma coreano fueron detectados preparando ataques contra una falla grave de seguridad en el lenguaje de programación PHP. Según reportes, han elaborado una lista de objetivos de primer ataque clasificados por país e industria, con Corea del Sur en el primer lugar.
Según Cibermarca, una empresa singapurense de análisis de amenazas cibernéticas, el 25 de octubre se registró que dos operadores que hablan coreano discutieron estos planes en un canal privado de la red anónima "I2P" (sigla en inglés para Red Invisible de Pares), un foro de difícil rastreo, durante 31 minutos a partir de las 11:00 horas del 22 de octubre.
Las directivas operacionales contenidas en el diálogo son específicas. Los operadores decidieron recopilar de manera silenciosa únicamente las versiones de PHP que los servidores exponen públicamente y evitar búsquedas a gran escala. También se les ordenó evitar objetivos que muestren un nivel elevado de vigilancia de seguridad. Los servidores que completaron actualizaciones de seguridad el 21 de octubre fueron marcados y excluidos de los objetivos de ataque.
Decidieron utilizar códigos de demostración de ataque (PoC) ya disponibles públicamente, sin crear nuevos, e implementar su propio sistema de inteligencia artificial para clasificar por efectividad. Posteriormente, los validarían en ambientes de prueba controlados. Quince direcciones de servidor (direcciones IP) de preparación de ataques fueron compartidas en la conversación.
Los objetivos de ataque se dividen en tres niveles. Los de primer nivel son agencias gubernamentales e instituciones financieras como bancos en Corea del Sur, Estados Unidos, Japón, Emiratos Árabes Unidos, la Unión Europea, Tailandia, Indonesia y Arabia Saudita. La manufactura, logística, transporte marítimo y puertos figuran en segundo nivel. Las plataformas de pago y transacciones en línea, compañías comerciales y constructoras están en tercero.
El método de infiltración más probable es manipular de manera sofisticada las solicitudes de carga de archivos a servidores para ejecutar comandos sin necesidad de autenticación. Los servidores que utilizan Apache como servidor web con PHP configurado como método predeterminado presentan el riesgo más alto. Se prevén diversos tipos de ataques, incluyendo venta de acceso a servidores, robo de criptoactivos, preparación de ataques de ransomware y hurto de información de cuentas. También se espera actividad de recopilación de inteligencia vinculada a estados.
Según Cibermarca, estos operadores han estado activos en el mismo canal desde marzo de este año. Incluso después del 21 de octubre, cuando el equipo de desarrollo de PHP lanzó una actualización de seguridad, continuaron depurando su lista de objetivos mientras filtraban servidores que ya habían sido actualizados. Cibermarca señaló el 25 de octubre, fecha en que se esperaba la primera versión de la lista, como el siguiente punto de revisión crítico.
PHP2Shell es una vulnerabilidad que ya ha sido objetivo de piratas informáticos comunes. El equipo de seguridad de Amazon detectó los primeros intentos de ataque el 17 de octubre, y Cloudflare reportó millones de intentos de ataque hasta el 22 de octubre.
Dada la posición de Corea del Sur como región prioritaria, es urgente una respuesta preventiva a nivel gubernamental. Las versiones de PHP 8.1 o anteriores no cuentan con actualizaciones oficiales de seguridad, por lo que el gobierno debe realizar una inspección exhaustiva de todos los servidores públicos y financieros que utilizan estas versiones, proporcionando apoyo para actualizaciones o segregación de redes externas.
* Este artículo ha sido traducido por IA.