広く使用されている Web スクリプト言語である PHP の 2 つの重大な脆弱性にパッチを適用するため、水曜日にインターネットが大慌てで争ったが、すべての攻撃を阻止するにはすでに遅すぎたことが、新たに公開された詳細で明らかになった。
水曜日に PHP の 2 つの重大な脆弱性に対する修正がリリースされたため、管理者とセキュリティ スタッフは脆弱な Web サイトとアプリを特定してパッチを適用するために競い合いましたが、攻撃者は必然的に修正をリバース エンジニアリングして欠陥の悪用方法を学習しました。一部の政府やその他の団体は、パッチを適用する前に主要な Web サイトがターゲットにならないように、リリースを見越して積極的に主要な Web サイトを削除しました。
しかし、このような活発な悪用を水曜日に検出したことに加え、アマゾン ウェブ サービスが水曜日の夜に発表した調査によると、少なくとも 1 人の攻撃者が、水曜日の公開の 4 日前である 10 月 17 日に、このバグ (総称して PHP2Shell として知られる) の悪用を試み始めていたことが示されています。
AWSのアナリストらは水曜日、同社のいわゆるハニーポット、つまり意図的に脆弱なWebサーバーや、研究者が攻撃方法や傾向を研究するのに役立つその他のデジタルルアーの1つでの活動を振り返っていた際に、10月17日の悪用を発見した。この試みは、AWS によれば、「商用匿名化ネットワーク」、つまりプロキシ ネットワークまたは VPN にリンクされている IP アドレスからのものでした。
「この脆弱性は禁輸措置下にあったが、匿名化された IP アドレスからハニーポットを標的としたことは、その活動が脅威アクターによって行われたことを示唆しているが、アクターが公開前にエクスプロイト情報をどのように取得したかは依然として不明である」と AWS の最高情報セキュリティ責任者である CJ Moses 氏は調査投稿で述べています。
PHP2Shell の概念実証エクスプロイトは水曜日に公開され始め、一部は東部時間午前 10 時の一般公開の数時間前に出現したようです。 AWS の研究者らは、この情報が公開されるまでの数時間で、AWS のハニーポットは、さまざまなプロバイダーを使用して匿名化された複数の悪用の試みに見舞われ、さまざまな攻撃目標を持っていると思われ、おそらく複数の異なる攻撃者を示していると述べています。 「技術分析は進行中ですが、これらの試みが現実世界のシステムで成功するかどうかは不明です」とモーゼス氏は書いている。同氏は、「PHP2Shell は現在、広く広く悪用されている」と付け加えた。
PHP財団は『WIRED』のコメント要請にすぐには応じていない。
10 月 17 日のエクスプロイトがどのように起こったのか、どこから来たのかは不明ですが、脆弱性分析を加速し、技術的に熟練していない攻撃者が新しいエクスプロイトを迅速に開発できるようにする AI ツールへの世界的なアクセスを考慮すると、この調査結果は調整された脆弱性開示がどのように進化し、スピードアップする必要があるかを強調していると AWS は強調します。
「構造的な理由により、パッチが適用されてからエクスプロイトが有効になるまでの時間が短縮されています」と Moses 氏は書いています。 「これまで、私たちが観察した悪用のほとんどは、概念実証が公開された後に行われていました。少数の有能な攻撃者がエクスプロイトを構築し、他の全員がそれを待っていました。その依存関係は弱まりつつあります。AI 支援分析により、パッチの差分やアドバイザリを実用的なエクスプロイトに変えるコストが安くなります。その結果、より多くの攻撃者が、脆弱性の技術的な詳細が公開されてから数時間、場合によっては数分以内に行動できるようになります。」
WACOCA: People, Life, Style.