Investigadores de Dream Group han documentado una campaña de ciberataque atribuida a actores chinos que logró obtener acceso de root en 25 servidores, incluyendo sistemas de un entorno gubernamental de Estados Unidos. La operación, descubierta el 25 de octubre, combinó la explotación de PHP2Shell (CVE-2026-109618/CVE-2026-109619) con una vulnerabilidad de escalada de privilegios en el kernel Linux (CVE-2026-46300, Fragnesia) para comprometer firewalls expuestos a internet. El ataque se ejecutó en una sola solicitud HTTP, sin credenciales, en menos de 15 minutos, explotando mecanismos de memoria de PHP 8.0.30 y sobrescribiendo archivos de autenticación PAM para eludir controles de SELinux. Los investigadores identificaron 40 scripts personalizados y evidencia de herramientas asistidas por IA, como Claude Code y plataformas con modelos DeepSeek y Kimi, aunque no se confirma que la IA haya escrito el código de la explotación. La campaña siguió un funnel de ataque escalonado: descubrimiento global de 19.000 objetivos, filtrado por versión y ubicación geográfica, y explotación final de 240 dispositivos en EE. UU., Japón, Taiwán y Corea del Sur. Este incidente ilustra la necesidad de defender interfaces de gestión expuestas y la complejidad de contener accesos persistentes en infraestructuras críticas.
Noticias agregadas con IA