Компания Dream опубликовала 26 октября отчёт о захвате 25 серверов в США, Японии, Тайване и Южной Корее. По её данным, обнаруженные 25 октября следы атаки показывают компрометацию в том числе трёх систем в инфраструктуре, связанной с американской государственной организацией

Атакующий соединил удалённое выполнение кода через PHP2Shell с повышением привилегий через уязвимость ядра Linux под названием Fragnesia. Цепочка была адаптирована к определённым версиям программного обеспечения межсетевых экранов. Производитель уведомлён, но его название и затронутые версии исследователи не раскрывают

С захваченного межсетевого экрана злоумышленник проложил туннель во внутреннюю сеть и взломал сервер централизованного управления. Исследователи подтвердили извлечение пароля служебной учётной записи и списка пользователей и групп домена. Успех дальнейшего подбора паролей и создания скрытых учётных записей установить не удалось

В инфраструктуре атакующего обнаружены инструменты искусственного интеллекта. При этом прямых доказательств, что именно нейросети написали вредоносный код, у авторов нет. Администраторам Dream рекомендует оперативно устанавливать соответствующие исправления и следовать указаниям производителя

Зачем панель управления защитным устройством вообще была доступна из интернета? Ограничение такого доступа — самостоятельный рубеж защиты. В этом случае компрометация межсетевого экрана дала путь к внутренним системам, поэтому проверка последствий должна охватывать и учётные данные, и доступ внутри сети

Первоисточник — Dream Research