Компания Dream сообщила 26 октября о взломе 24 межсетевых экранов и одного внутреннего сервера управления через связку PHP2Shell и уязвимости ядра Linux Fragnesia. В одной организации, которую исследователи связывают с государственным сектором США, атакующие добрались до пароля служебной учётной записи и каталога пользователей Active Directory. Вывод основан на найденных 25 октября инструментах и журналах атакующих; описанные проникновения происходили 23–24 октября.

PHP2Shell позволяла запускать команды через доступную из интернета панель управления, а Fragnesia — повышать права до администратора системы. Через захваченный экран злоумышленники проложили туннель во внутреннюю сеть и той же связкой взломали сервер, управляющий остальными экранами. Из его настроек они расшифровали пароль службы LDAP, используемой для обращения к каталогу пользователей. Защитное устройство стало входом к системе учётных записей всей организации.

Dream подтверждает извлечение этого пароля и списка пользователей и групп, но не знает, удались ли подбор других паролей, создание скрытых аккаунтов и кража ключей единого входа. Производитель устройств и версии ПО не раскрыты. Число 25 относится к системам, а не организациям. Найденные ИИ-инструменты также не доказывают автономного проведения атаки.

Это отдельный отчёт о рабочих системах: ранее мы писали об исполнении команд на ловушках. Он не восстанавливает отозванную связь другого эпизода с PHP2Shell: Unit 42 признала, что не может подтвердить этот способ первоначального входа в европейскую госструктуру.