La frenética carrera que se vivió en internet para corregir un par de vulnerabilidades críticas en PHP, un lenguaje de programación web muy utilizado, ya era demasiado tarde para detener todos los ataques, según revelan los detalles recién publicados.
La publicación de parches para dos vulnerabilidades críticas en PHP hizo que administradores y equipos de seguridad se apresuraran a identificar y corregir los sitios web y las aplicaciones vulnerables. Al mismo tiempo, los hackers comenzaron a analizar los parches mediante ingeniería inversa para averiguar cómo aprovechar los fallos. Algunos gobiernos y otras organizaciones incluso cerraron de forma preventiva sitios web clave antes del lanzamiento de los parches, con el fin de evitar ataques durante el tiempo que tardaran en instalarlos.
Pero, además de detectar dicha brecha, una investigación publicada por Amazon Web Services (AWS) indica que al menos un actor había comenzado a intentar explotar los fallos, conocidos colectivamente como PHP2Shell, el 17 de octubre, cuatro días antes de las revelaciones públicas del miércoles.
Los analistas de AWS detectaron un intento de ataque ocurrido el 17 de octubre mientras revisaban la actividad en uno de sus llamados honeypots, es decir, servidores web intencionalmente vulnerables u otros señuelos digitales que ayudan a los investigadores a estudiar los métodos y tendencias de los hackers. El intento procedía de una dirección IP que, según AWS, está vinculada a una «red comercial de anonimización», como una red proxy o una VPN.
«Aunque la vulnerabilidad seguía bajo embargo, el hecho de que se atacara un honeypot desde una dirección IP anonimizada sugiere que detrás de la actividad había un actor malicioso. Sin embargo, todavía no está claro cómo obtuvo información sobre el método de ataque antes de que se hiciera público», escribió CJ Moses, director de seguridad de la información de AWS, en la publicación de la investigación.
Elizabeth Barron, CEO de la Fundación PHP, declaró a WIRED que la organización desconocía la investigación de AWS antes de su publicación y que no tenía comentarios inmediatos sobre los hallazgos. Añadió: «Si bien coincidimos en que la actualización es absolutamente imprescindible, hasta donde sabemos, no se ha registrado ningún intento exitoso de ejecución remota de código».
Las primeras pruebas de concepto para aprovechar PHP2Shell comenzaron a aparecer públicamente el miércoles, y algunas surgieron aparentemente horas antes de la divulgación oficial, prevista para las 8:00 (hora de Ciudad de México). En las horas previas, los investigadores de AWS aseguran que sus honeypots recibieron múltiples intentos de ataque, ocultos mediante distintos servicios de anonimización y, al parecer, con objetivos diferentes, lo que probablemente apunta a la participación de varios actores.
«El análisis técnico sigue en curso y todavía no está claro si alguno de estos intentos habría funcionado en sistemas reales», escribió Moses. Añadió que PHP2Shell ya está siendo utilizado ampliamente en ataques en internet.
Aunque no está claro cómo se produjo el ataque del 17 de octubre ni de dónde procedió, AWS señala que estos hallazgos demuestran la necesidad de acelerar y adaptar la divulgación coordinada de vulnerabilidades. La razón es que el acceso generalizado a herramientas de IA puede agilizar el análisis de fallos y permitir que actores con menos conocimientos técnicos desarrollen rápidamente nuevos métodos de ataque.
«El tiempo que transcurre desde el parche hasta un exploit funcional se está reduciendo por razones estructurales», redactó Moses. Añade que, en el pasado, la mayoría de los exploits que observábamos se producían tras la publicación de una prueba de concepto pública. Un pequeño número de actores con los conocimientos necesarios creaba los exploits, y el resto esperaba a que lo hicieran: «Esa dependencia se está debilitando. El análisis asistido por IA abarata la conversión de una diferencia de parche o un aviso de seguridad en un exploit operativo. Como resultado, más actores pueden actuar en cuestión de horas o incluso minutos una vez que se revelan los detalles técnicos de una vulnerabilidad».
Artículo publicado originalmente en WIRED.com. Adaptado por Alondra Flores.
