La semaine dernière, deux failles critiques, baptisées PHP2Shell, ont semé la panique sur le web. Les failles se trouvaient depuis des années dans le code de PHP, l’un des langages de programmation les plus répandus sur Internet. De facto, des centaines de millions de sites se sont retrouvés exposés à des cyberattaques. Le temps d’installer les correctifs, certains services, comme ceux d’Orange et de gouvernements, ont été coupés d’urgence. Sans surprise, les cybercriminels se sont empressés de se pencher sur les vulnérabilités.
Dans un premier temps, les pirates se sont contentés de tâter le terrain. De nombreux gangs se sont mis à scanner tout Internet à la recherche de serveurs vulnérables. C’est le cas de Lazarus, un groupe criminel financé par la Corée du Nord. Par la suite, une première cyberattaque réussie a été confirmée par un chercheur. La menace est passée de la théorie à la pratique.
Une cyberattaque éclair orchestrée par des pirates chinois
Une seconde cyberattaque réussie vient d’être identifiée. Les chercheurs de Dream viennent de lever le voile sur une opération d’une tout autre envergure, attribuée à des pirates chinois. Pour arriver à leurs fins, et s’emparer d’une vingtaine de serveurs vulnérables, les hackers ont fabriqué leur propre version de PHP2Shell, taillée sur mesure pour contourner le pare-feu de la cible.
« Les appareils concernés utilisent des versions spécifiques du logiciel pare-feu d’un grand fournisseur. Pour des raisons de sécurité, nous ne divulguons ni le nom du fournisseur ni les versions concernées ; le fournisseur a été informé », détaille Dream.
Les pirates ont enchaîné la vulnérabilité PHP avec une seconde faille, logée dans le noyau Linux. En moins de quinze minutes, les pirates ont pu prendre le contrôle total de la machine, sans jamais devoir s’authentifier. Les cybercriminels ne se sont pas arrêtés à un seul serveur. Les assaillants ont repéré environ 19 000 pare-feu exposés dans le monde. Pour traquer ceux-ci, ils se sont servis de FOFA, un moteur de recherche chinois qui cartographie les équipements connectés. Ensuite, ils ont décidé de se concentrer sur 240 cibles situées aux États-Unis, au Japon, à Taïwan et en Corée du Sud. Avec la même tactique, 24 autres serveurs ont été piratés.
À lire aussi : « Un échec » cuisant pour la cybersécurité – pourquoi les failles PHP ont plongé une partie d’Internet dans le noir
Le gouvernement américain parmi les victimes
Au cours de l’opération, l’attaquant s’est glissé dans le réseau interne d’une organisation gouvernementale américaine, avec un vol d’identifiants à la clé. Les chercheurs de Dream soulignent que les hackers se sont fortement concentrés sur « des cibles gouvernementales ». Ce choix stratégique illustre « un niveau de préparation et de capacité qui la distingue d’une exploitation opportuniste ». Les hackers savaient ce qu’ils faisaient et savaient ce qu’ils cherchaient… et ils ne comptent pas s’arrêter là.
« Le tunnel installé vers l’organisation gouvernementale américaine fonctionne très probablement encore. Par ailleurs, l’attaquant garde en réserve les quelque 19 000 cibles repérées : il pourra les attaquer à nouveau, à mesure qu’il mettra au point des profils d’exploitation pour d’autres versions du système d’exploitation », explique le rapport de Dream.
Sans surprise, l’intelligence artificielle a été massivement exploitée pour mener l’attaque. Sur l’infrastructure des pirates, Dream a retrouvé Claude Code et une plateforme de piratage configurée avec les IA chinoises DeepSeek et Kimi. Les chercheurs ont aussi découvert plusieurs indices qui confirment que les pirates sont originaires de la Chine, comme des horodatages réglés sur l’heure chinoise, et des instructions rédigées en chinois.
Pour les experts en sécurité, la cyberattaque n’est pas une surprise. La plupart des chercheurs s’attendaient à ce que les failles de PHP soient rapidement exploitées par des cybercriminels. Cette vague d’attaques, généralement alimentée par l’IA, a été surnommée le « Black October » sur les réseaux sociaux, en particulier sur X, BlueSky et Mastodon. C’est pourquoi les chercheurs de Dream recommandent « aux organisations de déployer rapidement les correctifs nécessaires ».
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Dream
