Следите от ботнет атаките не показват връзка с правителствени хакери
Ранните атаки през уязвимостите в PHP показват автоматизирани криминални инструменти, а не потвърдени държавни шпиони
Същината
Сериозните уязвимости в PHP, софтуерът зад милиони уебсайтове, предизвикаха надпревара между екипите по защита и автоматизираните атаки. Въпреки че експертите доказаха опити на криминален ботнет да подчини сървъри за блокиране на мрежи, стандартните защити спряха пробивите в реални уебсайтове. Твърденията за намеса на севернокорейски държавни хакери остават непотвърдени и нямат техническа връзка с регистрираните атаки.
Акценти
- Пропуски в сигурността на PHP предизвикаха автоматизирани опити за атака още на 17 октомври, дни преди появата на официалните поправки.
- Експерти прихванаха работещи образци от ботнета Potassium, създаден да подчинява сървъри за масирани атаки с трафик.
- Компанията за киберсигурност Sophos оттегли съобщение за реален пробив, след като установи, че защитните стени са спрели атаката.
- Твърденията за връзка със севернокорейската група Lazarus се основават на наблюдение на частен чат, а не на технически доказателства.
Из дневника на редактора
Рязкото увеличаване на подозрителния трафик показва опити за използване на дадена слабост, но масовото автоматично сканиране не бива да се бърка с реален пробив в мрежата.
Кой участва
Unidentified Potassium delivery operators
Неизвестни нападатели, които се опитват да разпространяват зловреден софтуер за изграждане на ботнет мрежи
цел → Да подчинят уязвими уеб сървъри и да ги използват за блокиране на услуги чрез масиран интернет трафик
June 2026 Minjun operators
Говорещи корейски език онлайн профили, идентифицирани от фирмата за разузнаване на киберзаплахи CYFIRMA
цел → Да сканират и каталогизират правителствени и търговски мишени за евентуални бъдещи атаки
Amazon Threat Intelligence
Подразделението за киберзащита на доставчика на облачни услуги Amazon
цел → Да проследява ранните опити за атака и да защитава клиентските системи чрез глобална мрежа от сензори
Arctic Wolf Labs
Звеното за анализ на киберзаплахи към компанията Arctic Wolf
цел → Да следи командите на нападателите и да установява дали зловредните файлове реално са били изпълнени
cowrAI
Изследователски екип по сигурността, поддържащ сървъри примамки в интернет
цел → Да прихваща зловреден софтуер и да го тества безопасно в изолирана лабораторна среда
CYFIRMA
Компания за разузнаване на киберзаплахи, която следи операции, подкрепяни от държави
цел → Да предупреждава организациите за евентуално разузнаване на техните мрежи и да оценява възможни връзки със Северна Корея
Sophos
Компания за киберсигурност, проследяваща трафика от атаките
цел → Да защитава корпоративните клиенти и да проверява дали опитите за пробив успяват в реални мрежи
Palo Alto Networks Unit 42
Изследователският екип за киберзаплахи към компанията за киберсигурност Palo Alto Networks
цел → Да разследва сложни прониквания в компютърни мрежи и да следи автоматизираните хакерски методи
Накратко
Критични уязвимости в базовия софтуер за уебсайтове позволиха на нападатели да се опитат да поемат контрол над интернет сървъри, но събраните досега доказателства сочат към автоматизирани криминални мрежи, а не към потвърдени чуждестранни шпиони. Най-важният въпрос е дали подкрепяни от правителства хакери ще успеят да превърнат тези слабости в дълбоки пробиви в корпоративни и държавни мрежи. Това развитие остава несигурно, тъй като циркулиращите инструменти за атака се оказват ненадеждни извън тестовите лаборатории и до момента няма потвърдено успешно проникване в реално действащи институционални или фирмени страници.
Езикът PHP задвижва милиони публични интернет сайтове. Когато се появиха тежките уязвимости, наречени PHP2Shell, автоматизирани програми започнаха бързо да разпространяват щам на ботнет софтуер, наречен Potassium. Неговата цел е да превръща компютрите в подчинени устройства и да ги използва за претоварване на други системи с масиран интернет трафик. Отделен доклад твърди, че севернокорейски оперативни служители подготвят целенасочени прониквания, но анализите не откриват технически доказателства, които да свързват тези планове с наблюдаваните в реална среда атаки.
Как се разви
Първата сонда се появява преди официалните предупреждения
Автоматизирани системи засичат първите опити за атака още докато софтуерните инженери подготвят защитните кодове. Amazon установява ранното сондиране чрез своята мрежа от сървъри капани, предназначени да улавят враждебен трафик в интернет. Нападателят прикрива физическото си местоположение чрез услуги за анонимизиране и не оставя следи за самоличността си. Този опит показва, че уязвимостта в софтуера е била известна преди официалното предупреждение към собствениците на уебсайтове, въпреки че Amazon не открива доказателства за засегнат реален сайт.
Надпреварата между спешните корекции и първите атаки
Екипите по киберсигурност разполагаха с кратък прозорец между предупреждението към потребителите и разпространението на защитните обновления. След като технически детайли изтекоха предварително, инженерите обявиха извънредни поправки, което накара автоматизирани програми в цял свят да започнат търсене на незащитени цели. Сензори на независими компании за сигурност отчетоха единични опити за пробив преди официалното пускане на поправките. Много от тези ранни заявки останаха неуспешни, тъй като реалните сървъри са конфигурирани по начин, различен от този в тестовите среди, поради което автоматичното сканиране рядко водеше до реален пробив.
Трафикът насочва към общ сървър за разпространение
Вълната от сканирания бързо прерасна в целенасочени опити за инсталиране на зловреден софтуер. Няколко компании за киберсигурност засякоха команди, които караха атакуваните сървъри да се свържат с външен адрес и да изтеглят софтуера Potassium, създаден да включва машините в ботнет мрежи. Други нападатели опитаха да инсталират скрити вратички за постоянен достъп. Разнообразието от подадени команди показа, че различни хакери едновременно тестват уязвимостите, без признаци за единно координирано действие.
Изолиран зловреден код и коригирано съобщение за пробив
Анализаторите потвърдиха, че софтуерът за ботнет работи, но не откриха доказателства да е компрометирал реални действащи системи. Екипът на cowrAI свали образец от сървъра на нападателите и го стартира в изолирана лаборатория, където програмата веднага започна да генерира тестови атаки. Това доказа техническите възможности на файла, но не доказа успешни инфекции на реални уебсайтове. Разликата стана още по-видима, след като Sophos оттегли предишно свое предупреждение и след допълнителна проверка потвърди, че защитните стени на клиентите са спрели зловредния файл и не е имало реален пробив.
Подозрения за държавни хакери в затворени форуми
Ново предупреждение дойде от разузнавателната фирма CYFIRMA, която съобщи, че в криптиран чат профили на корейски език са обсъждали планове за атаки срещу правителствени и банкови сървъри. CYFIRMA предположи възможна връзка със свързаната със Северна Корея група Lazarus, но определи увереността си в това като умерена. Тъй като първоначалните разговори остават скрити и редактирани, независими експерти не могат да ги проверят. Важно е също, че нито един компютърен адрес или дигитален отпечатък от реалните ботнет атаки не съвпада с разговорите в затворения канал.
Отделни инциденти усложняват картината
Разследването се усложни допълнително, след като Palo Alto Networks съобщи за автоматизирано проникване в европейска правителствена служба, чието име не се посочва. Въпреки че атаката се е развила с необичайна скорост, изследователите не предоставиха технически доказателства, че входната врата са били уязвимостите в PHP. Експертите предупредиха, че публичните инструменти за атака остават трудни за надеждно задействане в разнородни компютърни среди. Впоследствие властите в Малайзия препоръчаха спешно обновяване на системите, като отбелязаха, че самоличността на извършителите остава неизвестна.
Докъде стигна историята
Данните от телеметрията категорично показват, че нападателите са се опитали да се възползват от пропуските в сигурността на PHP още преди и по време на пускането на извънредните обновления. Компаниите за сигурност прихванаха идентични зловредни файлове за ботнет мрежи, потвърдиха общи канали за доставка и доказаха в лабораторни условия, че програмите могат да генерират масиран мрежов трафик.
Никое от публично достъпните доказателства обаче не показва успешен пробив в реално действащи уебсайтове, нито разкрива кой контролира тези ботнети. Предполагаемата връзка със севернокорейски хакери почива единствено на непотвърдени преписи от частен чат без техническо съвпадение с наблюдаваните атаки. Доказването на правителствена намеса ще изисква проверени сървърни записи от реални жертви, а не фонов шум от сканирания и непотвърдени разговори в мрежата.
PHP2Shell: кризата със сигурността на PHP
Спешната поправка за сигурност на PHP предизвика недоказани опасения за пробив
21 октомври 2026 г.Публикации в интернет твърдяха, че новата актуализация за програмния език, задвижващ милиони уебсайтове, е неефективна, но техническите проверки не откриха компрометиран защитен код.
Спешни корекции в PHP след изтичане на експлойти и ранни атаки срещу уеб сървъри
21 октомври 2026 г.Милиони сървъри са изложени на риск от отдалечен контрол, след като критични уязвимости изтекоха публично преди официалните поправки.