شركة سايفرما: مشغّلان يتحدثان اللغة الكورية ناقشا قائمة الأهداف للمرحلة الأولى من الهجمات حتى 25 أكتوبر
كوريا الجنوبية في المرتبة الأولى للاستهداف...الإصدارات PHP 8.1 فما دون لا تتلقى تحديثات أمان رسمية
تأكد أن قراصنة يُعتقد أن لهم صلات بكوريا الشمالية ويتحدثون اللغة الكورية قد انخرطوا في استهداف ثغرة أمان خطيرة في لغة البرمجة PHP. وكُشف أنهم أنشأوا قائمة بأهداف الهجوم حسب الدول والقطاعات، حيث احتلت كوريا الجنوبية المرتبة الأولى بين المناطق المستهدفة.
وفقاً لشركة سايفرما للتحليل السيبراني في سنغافورة، في 25 أكتوبر، تم رصد مشغّلي النظام البالغ عددهم اثنان والمتحدثان للغة الكورية وهما يناقشان هذه الخطط في قناة خاصة على شبكة I2P المشفرة الصعبة التتبع، وذلك لمدة 31 دقيقة ابتداءً من الساعة الحادية عشرة صباحاً في 22 أكتوبر.
التعليمات الموجودة في سجلات المحادثة محددة وتفصيلية. أصدر المشغّلون توجيهات بجمع إصدارات PHP فقط من المعلومات التي تكشفها الخوادم خارجياً دون إجراء عمليات بحث واسعة النطاق، مع تجنب الأهداف التي تظهر مستويات عالية من المراقبة الأمنية. تم وضع علامات على الخوادم التي أكملت التحديثات الأمنية في 21 أكتوبر وإخراجها من قائمة الأهداف.
قرروا عدم تطوير أكواد إثبات المفهوم (PoC) الخاصة بهم، بل استخدام الأكواد المعروفة بالفعل، مع تصنيفها باستخدام نظام ذكاء اصطناعي حسب فعاليتها، والتحقق من صحتها في بيئة اختبار محكومة. تم مشاركة 15 عنوان خادم (IP) في المحادثة لأغراض الاستعداد للهجوم.
تنقسم الأهداف إلى ثلاث مراحل. المرحلة الأولى تشمل المؤسسات الحكومية والبنوك والمؤسسات المالية في كوريا الجنوبية والولايات المتحدة واليابان والإمارات العربية المتحدة والاتحاد الأوروبي وتايلاند وإندونيسيا والمملكة العربية السعودية. القطاع الصناعي والتصنيع واللوجستيات والشحن والموانئ والمطارات والطيران تشكل المرحلة الثانية، بينما منصات الدفع والتجارة الإلكترونية وشركات التجارة والمقاولات تمثل المرحلة الثالثة.
تتمثل أكثر طرق الاختراق احتمالاً في التلاعب بطلبات تحميل الملفات على الخادم للتمكن من إصدار أوامر للخادم دون الحاجة إلى تسجيل الدخول. الخوادم التي تستخدم خادم الويب أباتشي مع PHP كطريقة افتراضية تواجه أعلى درجات الخطر. يُتوقع تنفيذ هجمات متنوعة تشمل بيع صلاحيات الوصول للخوادم، سرقة الأصول الرقمية، الاستعداد لهجمات الفدية، وسرقة بيانات الحسابات. كما من المتوقع حدوث أنشطة جمع معلومات مرتبطة بالدول.
حددت شركة سايفرما أن هؤلاء المشغّلين كانوا نشطين على نفس القناة منذ مارس من العام الحالي. حتى بعد إصدار فريق تطوير PHP تحديثات أمنية في 21 أكتوبر، ظل هؤلاء يعملون على تحسين قائمة الأهداف بتصفية الخوادم التي أكملت التحديثات. حددت سايفرما موعد المراجعة التالي في 25 أكتوبر عند ظهور النسخة الأولى من القائمة.
تعتبر PHP2Shell ثغرة استهدفت بالفعل من قبل قراصنة عاديين. رصد فريق الأمان بأمازون محاولات هجوم أولى في 17 أكتوبر، وأفادت كلاودفلير بأن هناك ملايين محاولات هجوم حتى 22 أكتوبر.
بما أن كوريا الجنوبية احتلت المرتبة الأولى للاستهداف، فإن الاستجابة الاستباقية على المستوى الحكومي تصبح ملحة وضرورية. الإصدارات PHP 8.1 والأقدم منها لا تتلقى تحديثات أمان رسمية، مما يتطلب من الحكومة إجراء فحص شامل للتحقق من وجود خوادم عامة ومالية تستخدم هذه الإصدارات، وتوفير الدعم لتحديثها أو فصلها عن الشبكات الخارجية.
* تمت ترجمة هذا المقال تلقائيًا بواسطة الذكاء الاصطناعي.