Se ha observado que varios actores de amenazas explotan una falla de seguridad recientemente revelada en PHP para distribuir troyanos de acceso remoto, mineros de criptomonedas y botnets distribuidos de denegación de servicio (DDoS).
La vulnerabilidad en cuestión es CVE-2024-4577 (puntuación CVSS: 9,8), que permite a un atacante ejecutar de forma remota comandos maliciosos en sistemas Windows utilizando configuraciones regionales de los idiomas chino y japonés. Se hizo pública a principios de junio de 2024.
«CVE-2024-4577 es un fallo que permite a un atacante escapar de la línea de comandos y pasar argumentos para que sean interpretados directamente por PHP», dijeron los investigadores de Akamai Kyle Lefton, Allen West y Sam Tinklenberg en un análisis publicado el miércoles. «La vulnerabilidad en sí misma reside en cómo se convierten los caracteres Unicode en ASCII».
La compañía de infraestructura web dijo que comenzó a observar intentos de explotación contra sus servidores honeypot dirigidos a la falla PHP dentro de las 24 horas de que se hizo de conocimiento público.
Esto incluía exploits diseñados para distribuir un troyano de acceso remoto llamado Gh0st RAT , mineros de criptomonedas como RedTail y XMRig, y una botnet DDoS llamada Muhstik .
«El atacante envió una solicitud similar a las otras que se vieron en operaciones anteriores de RedTail, abusando del fallo del guión suave con ‘%ADd’, para ejecutar una solicitud wget para un script de shell», explicaron los investigadores. «Este script realiza una solicitud de red adicional a la misma dirección IP con sede en Rusia para recuperar una versión x86 del malware de criptominería RedTail».
El mes pasado, Imperva también reveló que CVE-2024-4577 está siendo explotado por actores del ransomware TellYouThePass para distribuir una variante .NET del malware de cifrado de archivos.
Se recomienda a los usuarios y organizaciones que dependen de PHP que actualicen sus instalaciones a la última versión para protegerse contra amenazas activas.
«El tiempo cada vez menor que tienen los defensores para protegerse después de que se revela una nueva vulnerabilidad es otro riesgo crítico para la seguridad», afirmaron los investigadores. «Esto es especialmente cierto en el caso de esta vulnerabilidad de PHP debido a su alta capacidad de explotación y su rápida adopción por parte de los actores de amenazas».
La revelación se produce después de que Cloudflare dijera que registró un aumento interanual del 20% en los ataques DDoS en el segundo trimestre de 2024 y que mitigó 8,5 millones de ataques DDoS durante los primeros seis meses. En comparación, la empresa bloqueó 14 millones de ataques DDoS durante todo el año 2023.
«En general, la cantidad de ataques DDoS en el segundo trimestre disminuyó un 11% intertrimestral, pero aumentó un 20% interanual», dijeron los investigadores Omer Yoachimik y Jorge Pacheco en el informe de amenazas DDoS del segundo trimestre de 2024.
Además, las botnets DDoS conocidas representaron la mitad de todos los ataques DDoS HTTP. Los agentes de usuario falsos y los navegadores sin interfaz gráfica (29 %), los atributos HTTP sospechosos (13 %) y las inundaciones genéricas (7 %) fueron los otros vectores de ataque DDoS HTTP más destacados.
El país más atacado durante el período fue China, seguido de Turquía, Singapur, Hong Kong, Rusia, Brasil, Tailandia, Canadá, Taiwán y Kirguistán. Las tecnologías de la información y los servicios, las telecomunicaciones, los bienes de consumo, la educación, la construcción y la alimentación y bebidas surgieron como los principales sectores atacados por los ataques DDoS.
«Argentina fue clasificada como la mayor fuente de ataques DDoS en el segundo trimestre de 2024», dijeron los investigadores. «Indonesia le siguió de cerca en el segundo puesto, seguida por los Países Bajos en el tercero».
Fuente y redacción: thehackernews.com
