В европейской государственной организации атакующие получили доступ к хешам паролей и секретам многофакторной аутентификации в течение двух часов после первоначального проникновения. Об этом Unit 42 компании Palo Alto Networks сообщила 23 октября в обновлении разбора PHP2Shell. Организация и дата самой атаки не названы.

По наблюдениям исследователей, злоумышленники также создали туннель для ретрансляции аутентификации NTLM в инфраструктуру Active Directory — систему управления учётными записями и правами организации. Затем они попытались получить права администратора домена. Об успешном получении этих прав отчёт не говорит; доступ к хешам паролей также не означает, что все пароли уже расшифрованы.

Unit 42 считает действия сильным признаком применения ИИ-агента: команды группировались в блоки с разделителями для машинной обработки, задачи выполнялись короткими последовательностями, после неудач быстро менялся подход. Это оценка исследователей по наблюдаемому поведению. Использованная модель, доля ручного управления и сравнение скорости с атакой без ИИ не раскрыты.

Ранее мы писали о попытках эксплуатации PHP2Shell на серверах-приманках Amazon, в том числе до публичного раскрытия уязвимостей. AWS тогда отдельно оговаривала неизвестность успеха ранних попыток на реальных системах. Новое сообщение Unit 42 описывает уже доступ к секретам входа внутри пострадавшей организации. Это конкретное последствие компрометации, но не оценка общего числа взломанных сайтов или доказательство полностью автономной атаки.