Исследователи компании Dream обнаружили кибератаку, в ходе которой злоумышленники проникли во внутреннюю сеть организации, связанной с правительством США. Начав со взлома доступного из интернета межсетевого экрана, они добрались до Active Directory и получили root-доступ к 25 серверам. На переход от внешнего периметра к внутренней инфраструктуре ушло всего несколько часов, сообщает Securitylab.ru
В атаке использовали две уязвимости PHP2Shell, CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 по шкале CVSS 4.0. После первоначального выполнения кода злоумышленники применили уязвимость Linux под названием Fragnesia, CVE-2026-46300, с оценкой 7,8 по CVSS 3.1. Целевая система работала на PHP 8.0.30. Вся цепочка позволяла перейти от удалённого выполнения команд к root-доступу менее чем за 15 минут.
От массового сканирования к взлому конкретных организаций
Сначала атакующие воспользовались поисковой системой FOFA, чтобы найти около 19 тысяч межсетевых экранов неназванного крупного производителя, доступных из интернета. После проверки версий программного обеспечения список сократился до 240 устройств, расположенных в США, Японии, Тайване и Южной Корее.
Затем злоумышленники запустили автоматизированный инструмент. Он успешно скомпрометировал 24 межсетевых экрана и установил на них PHP-вебшелл с правами root. Dream не раскрывает название производителя оборудования и точные версии, которые позволяли провести атаку.
Два взломанных устройства принадлежали одной организации, связанной с правительством США. Первый межсетевой экран вскоре перестал отвечать. Второй атакующие скомпрометировали 24 октября, после чего закрепились в системе с помощью обратного SSH-туннеля.
Через этот канал они проникли на внутренний сервер управления межсетевыми экранами и повторили ту же последовательность действий. В результате число скомпрометированных систем достигло 25.
От серверов к Active Directory
Получив root-доступ к серверу управления, злоумышленники расшифровали пароль служебной учётной записи LDAP. Затем они выгрузили сведения о пользователях и группах Active Directory.
После этого начались попытки дальнейшего развития атаки. Злоумышленники использовали password spraying, пытались создавать скрытые учётные записи и получить ключи для подписи SAML.
Dream подтвердила кражу учётных данных и разведку каталога Active Directory. Однако исследователям не удалось установить, увенчались ли успехом последующие действия атакующих. В частности, имеющихся данных недостаточно, чтобы утверждать, что злоумышленники получили ключи подписи SAML или успешно создали скрытые учётные записи.
Как PHP2Shell превратилась в инструмент целевого взлома
Эта кампания показывает, как массовый поиск уязвимых устройств может перерасти в адресную атаку на внутреннюю инфраструктуру организации. Для эксплуатации PHP2Shell злоумышленникам приходится адаптировать эксплойты под конкретные сборки программного обеспечения. В данном случае первоначальное сканирование стало первым этапом операции, которая завершилась проникновением в корпоративный каталог.
В материалах, обнаруженных во время расследования, также фигурировали Claude Code и платформа aiscan, использующая модели DeepSeek и Kimi. Dream допускает, что искусственный интеллект мог помочь при разработке инструментов для атаки. Однако прямых доказательств применения ИИ для этих целей исследователи не нашли.
Есть ли у атаки китайский след
Dream не стала связывать операцию с какой-либо конкретной хакерской группировкой. При этом некоторые обстоятельства могут указывать на возможную связь с Китаем: в журналах обнаружили запросы на китайском языке, время активности соответствовало часовому поясу UTC+8, а выбор целей включал организации в азиатском регионе.
Эти признаки сами по себе не позволяют установить происхождение атакующих. Исследователи не представили доказательств, которые однозначно связывали бы кампанию с китайской группировкой.
Разработчики PHP уже выпустили исправления уязвимостей в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. При этом случаи реальной эксплуатации PHP2Shell подтверждались и на других системах. Кампания подчёркивает, насколько быстро уязвимость на внешнем периметре может привести к компрометации внутренних серверов и корпоративных учётных данных.
Подписывайтесь на наш 
