Vulnerabilità RCE vecchia di 5 anni sfruttata dagli Hacker Cinesi

Redazione RHC : 14 Giugno 2024 16:02

Akamai ha avvertito che due vulnerabilità RCE in ThinkPHP, che sono state corrette più di cinque anni fa, vengono attivamente sfruttate dai malintenzionati.

Le vulnerabilità scoperte alla fine del 2018 e all’inizio del 2019 (CVE-2018-20062 e CVE-2019-9082) colpiscono i CMS che utilizzano ancora versioni precedenti del popolare framework open source.

Pertanto, il problema CVE-2018-20062 in NoneCMS 1.3, che consente agli aggressori remoti di eseguire codice PHP arbitrario su ThinkPHP prima della versione 5.0.23, risolto nel dicembre 2018. Inoltre il CVE-2019-9082 era correlato all’esecuzione di comandi remoti in Open Source BMS 1.1.1, interessando le versioni ThinkPHP precedenti alla 3.2.4 ed è stato corretto a febbraio 2019.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Gli exploit PoC per questi bug sono disponibili pubblicamente da più di cinque anni e, poco dopo la loro pubblicazione, entrambe le vulnerabilità hanno iniziato a essere sfruttate dagli aggressori.

I ricercatori hanno notato due campagne dannose che sfruttavano questi bug, una delle quali è durata diversi giorni nell’ottobre 2023 e l’altra nell’aprile 2024. In entrambi i casi, gli hacker di lingua cinese hanno sfruttato questi bug per scaricare file da un server violato in Cina. Di solito si trattava di un file di testo public.txt, che in realtà era una web shell offuscata – roeter.php.

Il payload forniva agli aggressori il controllo remoto del server dopo una semplice autenticazione utilizzando la password “admin”.

Di conseguenza, la web shell Dama ha consentito agli aggressori di navigare nel file system della vittima, modificare file locali, raccogliere informazioni e rubare file. Si noti che Dama può utilizzare l’Utilità di pianificazione di Windows per modificare la configurazione di Strumentazione gestione Windows (WMI) per aggiungere utenti con privilegi elevati al sistema.

Durante la fase post-sfruttamento, gli aggressori hanno eseguito scansioni delle porte di rete, hanno avuto accesso ai database esistenti e hanno aumentato i propri privilegi “aggirando la disabilitazione delle funzioni PHP per sfuggire alla sandbox PHP ed eseguire comandi shell sul server”, ha affermato Akamai.

Attualmente, la versione di ThinkPHP è la 8.0 e gli esperti scrivono che le organizzazioni devono aggiornarsi immediatamente, soprattutto perché gli aggressori continuano a prendere di mira le versioni senza patch.

“I recenti attacchi da parte di aggressori di lingua cinese evidenziano la tendenza in corso all’utilizzo di web shell complete progettate per ottenere un controllo avanzato sui sistemi delle vittime. È interessante notare che non tutti i client attaccati utilizzavano ThinkPHP, il che significa che gli aggressori possono attaccare indiscriminatamente un’ampia gamma di sistemi”, riassumono gli esperti.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli