Північна Корея склала перелік із 216 вебсерверів: 49 цілей у США і атаки через PHP
Північнокорейські хакери склали список із 216 вебсерверів, які планували атакувати, 24 жовтня. Компанія з кібербезпеки Cyfirma пов’язала цю активність з угрупованням Lazarus Group, а сам перелік з’явився за п’ять днів до зламу Binance на $6,3 млрд.
Які країни й скільки серверів потрапили до списку
Найбільше позицій припадає на США: 49 серверів. Далі йдуть Японія з 47, Індія з 31 і Південна Корея з 30. Інформацію про Південну Корею оприлюднили в неділю.
| Країна | Кількість цілей |
|---|---|
| США | 49 |
| Японія | 47 |
| Індія | 31 |
| Південна Корея | 30 |
Розподіл за іншими державами в матеріалах Cyfirma не наведено.
Чому хакери шукали сервери на PHP
Атакувальники орієнтувалися на сервери, де працює PHP. За даними W3Techs, на які посилається Tenable, цією мовою забезпечено приблизно 69% сайтів. Критичні уразливості PHP2Shell дають зовнішнім особам контроль над вузлами, які не оновлено.
PHP випустив оновлення безпеки 21 жовтня. Вже через п’ять днів Агентство з кібербезпеки та інфраструктурної безпеки США (CISA) включило обидві уразливості до переліку активно експлуатованих.
Чи були сервери зламані
Однозначних підтверджень немає. Хакери стверджують, що на більшості з 216 ресурсів уже щось впровадили, і нібито перелік зріс до 581 позиції. Cyfirma цих тверджень не підтвердила і зазначила, що присутність у списку означає цільову атаку, але не доводить компрометацію.
Присутність у переліку означає цільову атаку, але не доводить факту компрометації.
Cyfirma, аналітика з кібербезпеки
В опублікованій аналітиці не названо жодної підтвердженої жертви, а сектори, до яких належать 49 американських серверів, не деталізовано.
Що відомо про мету хакерів і зв’язок із Binance
Фрагменти чатів, які оприлюднила Cyfirma, показують головну мету атакувальників. Один із учасників, Operator 1, прямо говорить про потребу у фінансовому результаті.
Нам потрібен фінансовий результат та все, що дозволяє отримати доступ до фінансової, торгової або гаманцевої інформації
Operator 1, учасник чатів, оприлюднених Cyfirma
У звіті Cyfirma про Binance не згадано. ФБР вважає відповідальною за крадіжку Північну Корею, а владні органи США наразі ведуть процес примусового вилучення $1,2 млрд. Раніше Chainalysis пов’язувала з тими самими хакерами крадіжку $387 млн у Bitget.
Що це означає для ринку
Список показує, що криптоплатформи та фінансові сервіси можуть бути частиною ширшої мети північнокорейських угруповань, які шукають доступ до фінансової, торгової та гаманцевої інформації. Сам факт присутності сервера в переліку не означає, що його зламали, але означає, що він перебував у прицілі.
Рекомендація фахівців проста: спершу оновити PHP, а потім обов’язково перезапустити всі відповідні процеси. Звичайного оновлення сайту для усунення ризиків недостатньо.
Примітка редакції: Названі розподіли охоплюють лише США, Японію, Індію та Південну Корею; решта цілей у джерелі не деталізована.
Примітка редакції: Цифра 581 позиції є твердженням самих хакерів, Cyfirma її не підтвердила.
Часті питання
Скільки серверів є в списку північнокорейських хакерів?
Перелік містить 216 вебсерверів, складений 24 жовтня. Найбільше цілей припадає на США: 49 серверів. Далі йдуть Японія з 47, Індія з 31 і Південна Корея з 30. Розподіл інших цілей у джерелі не деталізовано, тож повну картину за країнами відновити неможливо.
Чи були сервери з цього списку атаковані?
Підтверджених жертв в опублікованій аналітиці немає. Хакери стверджують, що для більшості ресурсів уже щось впровадили, і нібито перелік зріс до 581 позиції. Cyfirma ці твердження не підтвердила. Присутність у списку, за її оцінкою, означає цільову атаку, але не доводить компрометації, тож статус кожного сервера залишається невідомим.
Чи пов’язаний цей список із зламом Binance?
У повідомленні Cyfirma Binance не згадано. ФБР вважає, що крадіжку здійснила Північна Корея, а владні органи США наразі ведуть процес примусового вилучення $1,2 млрд. Прямого зв’язку між переліком цілей і цим інцидентом у джерелі не показано, тож говорити про нього як про доведений факт не варто.
Що потрібно зробити, щоб захистити сервер від PHP2Shell?
Спершу потрібно оновити PHP: оновлення безпеки вийшло 21 жовтня. Після цього слід перезапустити всі відповідні процеси. За рекомендацією фахівців, лише оновлення сайту для усунення ризиків недостатньо. PHP2Shell дозволяє зовнішнім особам отримати контроль над невиправленими вузлами. CISA вже включило обидві уразливості до переліку активно експлуатованих.
Які програмні середовища були головною ціллю хакерів?
Хакери шукали сервери з підтримкою PHP, цією мовою, за даними W3Techs, забезпечено приблизно 69% сайтів. Критичні уразливості PHP2Shell дають зовнішнім особам контроль над вузлами, які не оновлено. Секторна належність 49 американських серверів у звіті не деталізована, тож картина цілей залишається неповною.
Раніше ми писали
Джерела
