Además, Dream señaló que es “probable que los atacantes aún” tengan acceso remoto persistente a las redes de las organizaciones comprometidas.

Los atacantes obtuvieron acceso root al primer firewall afiliado al gobierno de EE. UU. el 23 de octubre, pero el dispositivo se bloqueó poco después, posiblemente debido a unos 900 MB de tráfico del exploit. Según Dream, permaneció sin responder a pesar de 240 comprobaciones automatizadas durante dos horas. Explotaron con éxito el segundo firewall un día después, el 24 de octubre.

Los firewalls comprometidos ejecutaban versiones vulnerables de PAN-OS de Palo Alto Networks. Dream afirmó que había estado trabajando con el proveedor para investigar las brechas, y los investigadores de la Unidad 42 de Palo Alto Networks verificaron de forma independiente las herramientas del atacante y confirmaron los resultados reportados por Dream.

Para irrumpir en los firewalls, los atacantes construyeron una cadena de exploits personalizada que incluye PHP2Shell y un fallo del kernel Fragnesia, y ejecutaron unos 40 scripts personalizados de post-explotación una vez que estuvieron dentro de las organizaciones objetivo.

Cadena de ataque total en menos de 15 minutos

PHP2Shell, compuesto por CVE-2026-109618 y CVE-2026-109619, salió a la luz a principios de la semana pasada, junto con el temor de que los atacantes abusaran de los errores para derribar la mayor parte de Internet. A pesar de “cientos” de repositorios de prueba de concepto de PHP2Shell en GitHub, los primeros informes de ataques exitosos no comenzaron hasta el sábado.

Ambos errores tienen puntuaciones CVSS de 9,2 y pueden explotarse sin autenticación para ejecutar código en servidores PHP vulnerables.

El exploit PHP2Shell recuperado por Dream no era una copia de ningún exploit público conocido. “Parece haber sido desarrollado de forma independiente y adaptado específicamente para la plataforma de firewall objetivo”, escribieron los investigadores.

Los atacantes combinaron PHP2Shell con Fragnesia (CVE-2026-46300 ), una vulnerabilidad de escalada de privilegios locales de alta gravedad que afecta al subsistema XFRM ESP-in-TCP del kernel de Linux. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió este error del kernel de Linux a su catálogo de Vulnerabilidades Explotadas Conocidas el miércoles.

Tanto la CISA como el FBI declinaron hacer comentarios.

Los malhechores desarrollaron un exploit PHP2Shell de cuatro etapas que les permitió ejecutar comandos sin autenticación en firewalls vulnerables de Palo Alto Networks. Luego utilizaron Fragnesia para escalar sus privilegios y obtener acceso root. Los atacantes se dirigieron a PAN-OS 12.1 y 12.2, que ejecutan PHP 8.0.30 con un límite de memoria alto que permitió las etapas de corrupción de memoria del exploit.

“La cadena total, desde la conexión HTTPS no autenticada hasta la webshell de root persistente, se completa en menos de 15 minutos”, escribió el equipo de Dream.

4 pasos para obtener root

Así es como funciona: primero, inundan los servidores con solicitudes POST multipart diseñadas para corromper la memoria de PHP y forzar un diseño de memoria predecible.

Luego, una segunda solicitud falsifica la longitud del ID de sesión obsoleta a partir de la parte de corrupción de memoria del ataque, forzando una lectura fuera de límites y exponiendo la dirección base de libphp.so en el proceso en ejecución.

Los atacantes vuelven a agotar la memoria de PHP para forzar mod_data=NULL, creando una referencia obsoleta que pueden falsificar en la etapa final para ejecutar comandos como el usuario nobody. Utilizan Fragnesia para escalar a root y plantar una webshell en un directorio accesible públicamente en el firewall.

Tras irrumpir a través de los firewalls comprometidos, los atacantes husmearon en Active Directory, robando credenciales y otra información sensible. Con acceso root, los atacantes también tenían la llave maestra para descifrar la contraseña de la cuenta de servicio LDAP, que codificaron en cada script posterior.

También enumeraron cada usuario y grupo en el dominio a través de consultas LDAP, y lanzaron ataques de "password spraying" contra cada cuenta de usuario. Los atacantes también intentaron crear cuentas de AD fraudulentas e intentaron la extracción de la clave de firma SAML, pero Dream no sabe si tuvieron éxito.

“Los resultados del ataque —si el password spray encontró credenciales válidas, si se crearon las cuentas fraudulentas, si se extrajeron las claves SAML— permanecieron en el sistema de archivos local del servidor de gestión y no estuvieron entre los artefactos que recuperamos”, señalaron los investigadores.

Herramientas de IA en el ataque

La investigación también reveló pruebas de que los atacantes utilizaron herramientas de IA, aunque señaló que no se trató de un ataque totalmente autónomo.

Los investigadores encontraron instalado Claude Code de Anthropic, una plataforma de seguridad ofensiva impulsada por IA llamada aiscan configurada con los modelos chinos DeepSeek y Kimi, y claves API para el servicio de reconocimiento FOFA. FOFA es un motor de búsqueda de activos de Internet chino similar a Shodan. Los atacantes lo utilizaron para identificar unos 19.000 firewalls de Palo Alto Networks orientados a Internet en todo el mundo.

“Es probable que el túnel persistente hacia la organización gubernamental de EE. UU. siga activo”, advirtió Dream. “Y el atacante todavía tiene 19.000 objetivos identificados que puede volver a visitar a medida que desarrolle perfiles para versiones adicionales de PAN-OS”.

Fuente:
TheRegister