La empresa de ciberseguridad Dream afirma que los atacantes vulneraron 25 servidores al combinar PHP2Shell con una vulnerabilidad de escalada de privilegios del kernel de Linux. Según la compañía, algunos servidores pertenecían presuntamente a organizaciones vinculadas al Gobierno de Estados Unidos. TechRadar informa de que la actividad se dirigió contra cortafuegos de Palo Alto Networks con versiones antiguas y vulnerables de PAN-OS.
Según Dream, los ataques comenzaron el 23 de octubre de 2026 con sondeos a organizaciones de Estados Unidos, Japón, Taiwán y Corea del Sur. Después, los atacantes se centraron en los cortafuegos y combinaron PHP2Shell con Fragnesia, una vulnerabilidad que permite a usuarios sin privilegios obtener acceso root. Fragnesia se registra como CVE-2026-46300.
Dream afirma que los atacantes ejecutaron unos 40 scripts personalizados tras la intrusión. La empresa también señala que, pocas horas después de vulnerar un cortafuegos vinculado al Gobierno de Estados Unidos, se habían desplazado a una red interna, habían vulnerado un tercer servidor con PHP2Shell e iniciado un ataque contra Active Directory. Según Dream, la cadena desde una conexión HTTPS no autenticada hasta una webshell root persistente se completó en menos de 15 minutos. Los investigadores creen que los atacantes podrían conservar el acceso.
Dream no pudo determinar el objetivo final de los atacantes a partir de los artefactos recuperados. Encontró Claude Code, AIscan configurado con los modelos DeepSeek y Kimi, y claves de API de FOFA. La empresa cree que los atacantes utilizaron herramientas de IA, aunque la campaña no estuvo totalmente automatizada. Según Dream, FOFA sirvió para identificar unos 19.000 cortafuegos de Palo Alto Networks conectados a internet como posibles objetivos.
Comentarios
0Aún no hay comentarios. Escribe el primero.