Един ден след като правителствата по целия свят предупредиха, че наскоро разкритите уязвимости в софтуера са толкова сериозни, че уебсайтовете трябва да обмислят временно преустановяване на работата си, докато не ги отстранят, експерти и запознати със ситуацията заявиха, че има малко, ако изобщо има, съобщения за широкомащабни щети.
Разбира се, ситуацията все още може да се промени, а експертите по киберсигурност предупреждават, че заплахата ще остане актуална през следващите седмици, ако не и по-дълго. Въпреки това в четвъртък се появиха първите признаци, че хакерите срещат затруднения да се възползват от уязвимостите.
„В цялата ни телеметрия – а ние я проучваме внимателно – сме забелязали само няколко реални опита за злоупотреба.“
Това заяви Дон Смит, вицепрезидент по проучване на възможните заплахи в британската компания за софтуерна сигурност Sophos.
Тихата битка за закърпване на пробивитеЕкспертите са единодушни, че това се дължи отчасти на глобалните задкулисни усилия, които идентифицираха уязвимостта и тихо разработиха корекция за нейното отстраняване.
Още по темата:
Критичната дупка в сигурността на PHP: Защо милиони сайтове по света се оказаха под директна заплаха
Усилията бяха подпомогнати, неволно, от настоящите ограничения на някои широко достъпни AI модели, които изглежда не се оказаха особено полезни при експлоатирането на уязвимостите. И може би, както отбелязват специалистите, е изиграл роля и малко късмет.
„Усещането ми е, че тези уязвимости са по-трудни за експлоатиране, отколкото хората смятаха в началото, така че това може да се проточи доста дълго.“
Засегнатият език за програмиране PHP се използва в около 69% от всички сайтове. След като през август изследователите дискретно откриха две сериозни софтуерни уязвимости, те работиха в международен и мултидисциплинарен екип, за да разработят пачове, които бяха пуснати в сряда сутринта.
Това доведе до необичайна ситуация, при която правителствени агенции – от ФБР и Агенцията за национална сигурност до европейските органи за киберсигурност и австралийските разузнавателни служби – препоръчаха уебсайтовете да преустановят работата си, докато не приложат кръпките. И десетки големи уебсайтове по целия свят направиха точно това.
Сложността на атаките и липсата на активни експлойтиЕкспертите казват, че има много доказателства, че хакерите неуморно сканират въпросните уязвимости в търсене на начини да ги използват за атакуване на цели.
Но изследователи и представители на девет водещи в бранша компании — CrowdStrike, ESET, Google Threat Intelligence Group, Huntress, Palo Alto Networks, Recorded Future, SecureWorks, Sophos и Trail of Bits — заявиха пред NBC News, че към четвъртък вечерта не са забелязали нито една успешна атака.
„Все още не сме видели тези уязвимости в PHP да бъдат експлоатирани в реални условия.“
Това заяви Шерод ДеГрипо, вицепрезидент по разузнаване на заплахи в Unit 42 на Palo Alto Networks.
„Видяхме над 200 примера на експлойт код, служещ като доказателство за концепцията, и активно разследваме всички тях. Дали в действителност има активни експлойти в момента, не можем да знаем, но тяхната поява е само въпрос на време.“
Въпреки че самата уязвимост е теоретично опустошителна, технически тя е много трудна за използване, заяви Дан Гуидо, главен изпълнителен директор на компанията за изследвания и консултации в областта на киберсигурността Trail of Bits.
Медни капани и ролята на изкуствения интелектГуидо сподели, че на един от неговите служители, който има 10-годишен стаж, му е отнело цял ден да пробие уязвимостите с помощта на усъвършенстван AI модел.
Amazon Web Services съобщи, че е използвала така наречените „медни капани“ — фалшиви уебсайтове, които изследователите в областта на киберсигурността създават, за да заблудят и наблюдават нарушителите. Целта е била да се открият доказателства, че хакерите са се опитвали да експлоатират уязвимостта в PHP поне четири дни, преди тя да бъде оповестена публично.
„Техническият анализ все още продължава и не е ясно дали някой от тези опити би бил успешен в реалните компютърни системи.“
Матю Принс, главен изпълнителен директор на Cloudflare — една от най-популярните хостинг компании в интернет — заяви, че компанията е водила преговори в продължение на месеци относно начина за отстраняване на уязвимостта и че нито един от клиентите ѝ не е бил засегнат.
„Страшното в случая е, че нещо може да е било компрометирано напълно незабелязано. Може да няма никакви публични доказателства, че сървърът е бил компрометиран, а хакерът просто да си стои там.“
Макар че „спящите“ нарушители винаги представляват потенциална заплаха във всеки сценарий за хакерска атака, Гуидо от Trail of Bits отбеляза, че е важно да се има предвид, че за хакването на сложен уебсайт е необходимо нещо повече от експериментален код и малко късмет.
Това е особено вярно за хакерите, които разчитат на AI модели с отворена архитектура — такива, с които могат да експериментират и от които да премахнат защитните механизми, за да улеснят операциите си.
Тези модели не са толкова мощни, колкото тези, с които разполагат изследователите в областта на киберсигурността на предната линия – и обикновено се затрудняват със сложни уязвимости като пропуските в PHP.
„Много хора бъркат доказателството за концепция с експлойт. Оказва се, че писането на експлойти все още изисква експертни познания. Не може просто да се имитира.“