Les deux failles critiques qui frappent PHP, le langage qui fait tourner la majeure partie du web, ont été exploitées lors d’une cyberattaque réussie. Adel Karimi, responsable détection et réponse chez Perplexity, a découvert qu’un pirate est parvenu à se servir d’une des vulnérabilités contre un serveur. En amont, le chercheur avait tendu un « pot de miel » (honeypot), un serveur-leurre volontairement vulnérable, destiné à attirer les pirates pour observer leurs méthodes.
« Il s’agit maintenant d’une exécution de code à distance confirmée, avec une fuite de mémoire exploitable, et non d’un simple plantage », détaille Adel Karimi.
Concrètement, le pirate a réussi à sortir du serveur 800 kilo-octets de données internes. Ensuite, il a pris la main sur le serveur vulnérable en se servant des brèches, le tout en une fraction de seconde. Marcus Hutchins, chercheur chez Expel, confirme les conclusions d’Adel Karimi. Pour lui, c’est la première preuve qu’une exploitation réussie des failles PHP2Shell dans le cadre d’une offensive en conditions réelles.
À lire aussi : Failles PHP – pourquoi c’est un vrai casse-tête pour l’Internet mondial
Plus de 2 000 dollars en bitcoins volés
Pourtant, Cloudflare a détecté des millions de tentatives d’exploitation juste après la divulgation des failles. Amazon a même repéré des pirates exploitant PHP2Shell quatre jours avant même la sortie des correctifs. Selon l’équipe de recherche TRACE de Dataminr, l’activité des pirates se « limitait à du balayage, de la prise d’empreinte et des codes d’attaque non fonctionnels, sans compromission connue » jusqu’ici.
C’est donc la première preuve en conditions réelles que les failles peuvent être exploitées pour faire des dégâts, mais ce n’est pas la seule. En parallèle, un développeur a lancé le site StealMyBitcoin.com. Sur ce site, il a mis en jeu plus de 2 000 dollars en bitcoins, accessibles à quiconque réussirait à pirater son serveur PHP vulnérable, dépourvu volontairement de correctifs. Près de 20 heures après l’ouverture du défi, un participant est parvenu à exploiter les failles dans le code de PHP pour subtiliser les cryptomonnaies.
À lire aussi : « La nouvelle norme » – l’IA a semé le chaos sur Internet cette semaine, et « ce n’est que le début »
Une campagne soupçonnée nord-coréenne se met en place
Par ailleurs, les chercheurs de Cyfirma ont repéré une vaste campagne en provenance de la Corée du Nord. Selon eux, le gang de pirates Lazarus, mandaté par Séoul, cherche activement à exploiter les failles dénichées dans PHP. Depuis 21 serveurs compromis, les hackers sondent 216 cibles vulnérables aux États-Unis, au Japon, en Corée du Sud ou encore dans l’Union européenne. On trouve surtout des administrations, des banques, et des aéroports.
L’opération de « balayage » initiée par les hackers nord-coréens est « délibérément discrète et espacée », explique Kumar Ritesh, PDG de Cyfirma, à The Hacker News. Les serveurs sont « changés et abandonnés au premier signe de blocage », afin de pouvoir rester sous les radars. Ce n’est évidemment qu’une première étape. L’entreprise de sécurité prévient que « l’exploitation est l’étape suivante ». Une vague de cyberattaques reposant sur les défaillances de PHP risque de déferler.
Pour mémoire, PHP équipe environ 70 % des sites web sur Internet. Les correctifs sont disponibles depuis le 21 octobre dernier, mais une troisième faille, encore non colmatée, a déjà été signalée par les développeurs de la fondation PHP.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
