Зондирование, связанное с PHP2Shell, не подтвердило выполнение команд

В период с 22:45 22 октября по 01:28 24 октября по UTC несколько источников проводили разведку, связанную с PHP2Shell, против веб-приложений, обозначенных как Drupal, WordPress и портальные сервисы. Телеметрия выполнения в реальном времени не выявила команд, запущенных Apache, исходящих событий tcp_connect или успешных маркеров PHP2Shell в 4216 декодированных ответах. Эти данные не исключают выполнение кода в уже работающих процессах или активность за пределами периода захвата.

Запросы и сбои

Разведывательная активность включала крупные тела multipart-запросов, зондирование сериализаторов, загрузку данных по частям, отправку вложенных файлов, маркеры p2s_v2, элементы управления в стиле сканеров, а также быстрые или неполные POST-запросы. На этапе утечки в стиле B1 получили десять полных тел, связанных со сбоями.

Источниками были IP-адреса 178.249.214.6, 89.167.27.27, 103.151.173.212 и 45.14.71.20. Последний вызвал аварийное завершение работы аллокатора с ошибкой zend_mm_heap corrupted при неполном запросе. В разных сетях /24 повторно использовались варианты с крупными телами заявленной длиной около 12,7 МБ, 15,7 МБ и 16,8 МБ. Это указывает на применение общих инструментов или повторное использование полезной нагрузки, но не доказывает наличие общего оператора, ботнета или стратегии обхода. Один из источников также отправлял управляющие запросы в стиле сканера, то есть отдельные IP-адреса не ограничивались одним семейством запросов.

Отдельная волна обращений к ядру и сериализатору соответствовала маркерам построения запросов из известной реализации PHP2Shell. Запросы с полем session.serialize_handler не подтвердили изменения конфигурации на стороне сервера. Источники этой группы не были связаны с наблюдаемыми сбоями.

Другие признаки активности

Потоки из подсети 188.253.121.0/24 использовали передачу данных по частям и нумерованные поля g0000..., дополненные длинными последовательностями символов x. Эта активность указывает на отдельный кластер, однако неполные загрузки не позволили определить, какой объём данных обработал PHP. Другие зондирования вызывали события исчерпания памяти.

Запросы p2s_v2 с IP-адресов 27.100.38.10 и 46.144.20.186 содержали маркеры recon0xdeadbeef и ?c=echo%20p2s_v2_alive. Они не подтвердили выполнение команд. Исчерпание памяти также сопровождало зондирование вложенных файлов, отправку тела $_FILES размером 300 067 байт, элементы управления в стиле Assetnote и быстрые POST-запросы размером 1 МБ.

Исследователи зафиксировали запросы с метками Shellflow и census, но рассматривали эти метки только как самоидентификацию. События, связанные с хуками разрешений, ссылались на временные пути PHP, однако не подтвердили запись файлов или установку веб-шелла.

Обозначения Drupal, WordPress и портальных сервисов в запросах не свидетельствуют об уязвимостях в базовых продуктах CMS.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.