Исследователи Dream сообщили об операции, в которой, по их оценке, использовались инструменты с поддержкой ИИ. Атаку связывают с предполагаемой группой, имеющей отношение к Китаю. Злоумышленники объединили уязвимости PHP2Shell с эксплойтом для повышения привилегий в ядре Linux и получили права root на 25 серверах в США, Японии, Тайване и Южной Корее. Три системы находились в среде, связанной с правительством США.
Активность наблюдали 25 октября 2026 года, хотя часть взломов произошла раньше. PHP2Shell включает две уязвимости: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку CVSS 9,2 и могут позволить выполнять код удалённо без аутентификации. Для перехода от первоначального доступа к root использовалась Fragnesia, локальная уязвимость повышения привилегий в ядре Linux, CVE-2026-46300, с оценкой CVSS 7,8.
Уязвимыми оказались устройства с определёнными версиями межсетевого экрана неназванного производителя. Dream сообщила, что уведомила затронутую организацию. В операционной системе этих устройств работал PHP 8.0.30; механизм загрузки PHP-сессий и высокий лимит памяти помогали выполнять этапы атаки с повреждением памяти. Изъятый эксплойт был собственной, непубличной сборкой, а не копией известного варианта PHP2Shell.
По артефактам исследователи восстановили последовательность подготовки. Сначала атакующий разрабатывал эксплойт в лабораторной среде, затем запустил собственный сканер версий. Около 5 000 устройств ответили данными о программном обеспечении. После отбора по странам и версиям операционной системы список сократился до 240 целей: оставили устройства из США, Японии, Тайваня и Южной Кореи на новых ветках выпуска с PHP 8.0.30.
Автоматизированный пакетный инструмент применял связку PHP2Shell–Fragnesia, размещал PHP-веб-оболочку в общедоступном каталоге межсетевого экрана и проверял получение root-доступа. Для каждой цели он сохранял имя узла и IP-адрес в CSV-файл. Эта схема сработала на 24 серверах; последующая активность довела общее число взломанных машин до 25. У атакующего, по данным Dream, также оставались отпечатки 19 000 целей, к которым можно было вернуться после подготовки профилей для других версий операционной системы.
В правительственной сети США злоумышленник получил устойчивый доступ к внутреннему домену Active Directory. Первый из описанных серверов был взят 23 октября 2026 года в 18:14 UTC, но вскоре вышел из строя и больше не появился в сети. Второй взломали 24 октября в 10:09 UTC в ходе отдельной кампании; через него настроили обратный SSH-туннель, связывавший межсетевой экран с инфраструктурой оператора. В 11:35 UTC того же дня атакующий через туннель скомпрометировал третий сервер организации, внутреннюю систему управления межсетевыми экранами.
В отчёте есть расхождение: сначала Dream говорит о двух успешно взломанных системах, принадлежавших организации, а затем описывает третий правительственный сервер. Масштаб доступа к Active Directory также не установлен. Атакующий пытался расшифровать пароль сервисной учётной записи LDAP, перечислять пользователей и проверять пароли по всем учётным записям, используя варианты, связанные с тематикой организации. Он также пытался создать скрытые учётные записи. Исследователям не удалось определить, получил ли он действующие пароли или создал такие аккаунты.
В инфраструктуре атаки нашли установленный Claude Code компании Anthropic, ключи API FOFA и платформу aiscan для автоматизации наступательной кибербезопасности. В aiscan были настроены большие языковые модели DeepSeek и Kimi. Ещё почти 40 скриптов отличались сходной структурой, стилем комментариев и последовательностью оформления; по оценке исследователей, это указывает на возможную помощь ИИ при разработке. Само наличие этих инструментов, однако, не доказывает, что ИИ самостоятельно проводил операцию.
Dream сочла выбор США, Японии, Тайваня и Южной Кореи признаком возможной деятельности государственного противника: эти страны компания назвала основными стратегическими соперниками и объектами разведки для связанных с Китаем киберопераций в Тихоокеанском регионе. Исследователи предупредили, что открытый интерфейс управления может стать входом в систему идентификации организации. По их данным, на 22 других взломанных межсетевых экранах оставались активные веб-оболочки, а туннель в правительственную сеть США, вероятно, продолжал работать.
Операция произошла на фоне ограниченного применения PHP2Shell в реальных атаках. Участники профильных форумов отмечали, что превратить доказательство концепции (PoC) в надёжный эксплойт для реальной цели трудно. Пользователь c0d3x, которого цитировала Flare, объяснял, что для практической эксплуатации нужны смещения из , различающиеся между сборками; перебрать их практически невозможно. По его словам, воспроизвести атаку можно на тестовом стенде либо при наличии предварительного доступа к файловой системе цели.
Изображение носит иллюстративный характер
Активность наблюдали 25 октября 2026 года, хотя часть взломов произошла раньше. PHP2Shell включает две уязвимости: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку CVSS 9,2 и могут позволить выполнять код удалённо без аутентификации. Для перехода от первоначального доступа к root использовалась Fragnesia, локальная уязвимость повышения привилегий в ядре Linux, CVE-2026-46300, с оценкой CVSS 7,8.
Уязвимыми оказались устройства с определёнными версиями межсетевого экрана неназванного производителя. Dream сообщила, что уведомила затронутую организацию. В операционной системе этих устройств работал PHP 8.0.30; механизм загрузки PHP-сессий и высокий лимит памяти помогали выполнять этапы атаки с повреждением памяти. Изъятый эксплойт был собственной, непубличной сборкой, а не копией известного варианта PHP2Shell.
По артефактам исследователи восстановили последовательность подготовки. Сначала атакующий разрабатывал эксплойт в лабораторной среде, затем запустил собственный сканер версий. Около 5 000 устройств ответили данными о программном обеспечении. После отбора по странам и версиям операционной системы список сократился до 240 целей: оставили устройства из США, Японии, Тайваня и Южной Кореи на новых ветках выпуска с PHP 8.0.30.
Автоматизированный пакетный инструмент применял связку PHP2Shell–Fragnesia, размещал PHP-веб-оболочку в общедоступном каталоге межсетевого экрана и проверял получение root-доступа. Для каждой цели он сохранял имя узла и IP-адрес в CSV-файл. Эта схема сработала на 24 серверах; последующая активность довела общее число взломанных машин до 25. У атакующего, по данным Dream, также оставались отпечатки 19 000 целей, к которым можно было вернуться после подготовки профилей для других версий операционной системы.
В правительственной сети США злоумышленник получил устойчивый доступ к внутреннему домену Active Directory. Первый из описанных серверов был взят 23 октября 2026 года в 18:14 UTC, но вскоре вышел из строя и больше не появился в сети. Второй взломали 24 октября в 10:09 UTC в ходе отдельной кампании; через него настроили обратный SSH-туннель, связывавший межсетевой экран с инфраструктурой оператора. В 11:35 UTC того же дня атакующий через туннель скомпрометировал третий сервер организации, внутреннюю систему управления межсетевыми экранами.
В отчёте есть расхождение: сначала Dream говорит о двух успешно взломанных системах, принадлежавших организации, а затем описывает третий правительственный сервер. Масштаб доступа к Active Directory также не установлен. Атакующий пытался расшифровать пароль сервисной учётной записи LDAP, перечислять пользователей и проверять пароли по всем учётным записям, используя варианты, связанные с тематикой организации. Он также пытался создать скрытые учётные записи. Исследователям не удалось определить, получил ли он действующие пароли или создал такие аккаунты.
В инфраструктуре атаки нашли установленный Claude Code компании Anthropic, ключи API FOFA и платформу aiscan для автоматизации наступательной кибербезопасности. В aiscan были настроены большие языковые модели DeepSeek и Kimi. Ещё почти 40 скриптов отличались сходной структурой, стилем комментариев и последовательностью оформления; по оценке исследователей, это указывает на возможную помощь ИИ при разработке. Само наличие этих инструментов, однако, не доказывает, что ИИ самостоятельно проводил операцию.
Dream сочла выбор США, Японии, Тайваня и Южной Кореи признаком возможной деятельности государственного противника: эти страны компания назвала основными стратегическими соперниками и объектами разведки для связанных с Китаем киберопераций в Тихоокеанском регионе. Исследователи предупредили, что открытый интерфейс управления может стать входом в систему идентификации организации. По их данным, на 22 других взломанных межсетевых экранах оставались активные веб-оболочки, а туннель в правительственную сеть США, вероятно, продолжал работать.
Операция произошла на фоне ограниченного применения PHP2Shell в реальных атаках. Участники профильных форумов отмечали, что превратить доказательство концепции (PoC) в надёжный эксплойт для реальной цели трудно. Пользователь c0d3x, которого цитировала Flare, объяснял, что для практической эксплуатации нужны смещения из , различающиеся между сборками; перебрать их практически невозможно. По его словам, воспроизвести атаку можно на тестовом стенде либо при наличии предварительного доступа к файловой системе цели.
