«Steal My Bitcoin»: пенTester заробив 2000 доларів у BTC, експлуатуючи PHP2Shell

<<Безпека — це процес, а не продукт.>> (Брюс Шнайер, Secrets and Lies, 2000)

Сейф з відкритими дверима, навмисно. У суботу, 24 жовтня, дослідник з безпеки Джеймс Павур виклав в Інтернет сервер, навмисно вразливий до вразливостей PHP2Shell, з біткойн-гаманець всередині та інструкцією, що складається з трьох слів: вкради мій біткойн. Дев’ятнадцять годин потому, пенTester з 26-річним досвідом, що проживає у Великій Британії, забрав ключі.

Спільнота підвищила винагороду з 500 до 2000 доларів за вихідні, а переможець передав частину коштів до асоціації хворих на вовчак. Процес, що дорогий Шнайеру, зайняв тут три години реальної роботи.

Ключові моменти

• Сайт-виклик, запущений 24 жовтня, експонував непатчений сервер PHP та винагороду в BTC
• Джейдіп Модхвадія, відомий як Killa, отримав контроль над машиною 25 жовтня о 15:47 UTC
• Його корисне навантаження міститься в одному Python-скрипті та менш ніж у двадцяти веб-запитах
• Винагорода зросла з 500 до 2000 доларів завдяки пожертвам спільноти
• CISA внесла обидві вразливості до свого каталогу вразливостей 26 жовтня

Steal My Bitcoin або баунті за помилку, зведений до гаманця

Принцип класичного баунті за помилку проходить через платформу, форму та комітет, який оцінює серйозність перед тим, як заплатити. Павур усунув усе це. Один сервер, відома вразливість, адреса біткойн: перший, хто виконає код на машині, користується ним сам. Платіж — це доказ, а блокчейн виступає в ролі протоколу.

Механіка сподобалася. За даними The Register, початкова ставка в 500 доларів була вчетверо збільшена спільнотою, досягнувши 2000 доларів, що становить приблизно 0,025 біткойна на середу, 28 жовтня, близько 80 500 доларів.

Переможець звуть Джейдіп Модхвадія, розробник і пенTester, що проживає у Великій Британії, відомий під псевдонімом Killa. Лічильник на сайті показує <<Мій біткойн був вкрадений через 19,28 години>>, але сам він зменшує значення: він працював <<приблизно три години загалом>>. Павур додав точку входу PHP, яку експлуатація вимагала, близько 13:00 UTC 25 жовтня, а виконання коду відбулося о 15:47 UTC.

Його корисне навантаження міститься в одному файлі Python і <<максимум у двадцяти HTTP-запитах>>. Скрипт в основному обходить ASLR, захист, який випадковим чином змішує адреси пам’яті програми, щоб ускладнити життя зловмисникам. Код є публічним на GitHub.

Модхвадія оголосив, що передасть частину виграшу Фонду вовчака, який бореться з вовчаком, автоімунним захворюванням, від якого він сам страждає. У 2021 році хакер Poly Network повернув свою винагороду в 500 000 доларів після повернення 610 мільйонів, для того, хто зробить краще за нього.

PHP2Shell все ще загрожує 32 мільйонам серверів

Обидві вразливості, CVE-2026-109618 та CVE-2026-109619, торкаються всіх версій PHP з 5.4, інакше кажучи, двигуна значної частини світового вебу. За словами Брайана Кребса, Censys нараховував 2,58 мільйона хостів, що піддаються ризику, та 54,9 мільйона веб-властивостей під PHP на момент термінових виправлень 21 жовтня.

Патчі існують: PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Але Censys, згаданий The Hacker News, все ще нараховував 32,51 мільйона сервісів PHP на вразливій версії. CISA додала обидва CVE до свого каталогу активно експлуатованих вразливостей в понеділок, 26 жовтня, з оцінкою серйозності 9,2 з 10, і надала федеральним агентствам США до 29 жовтня для виправлення. Перше виконання коду в природі було зафіксовано на медових горщиках 24 жовтня, в день запуску Steal My Bitcoin.

Ваш обмін, напевно, не працює на PHP, і кілька платформ поспішили це сказати після попередження, яке зробив Чанпен Чжао. Але блог, який рекомендує вам гаманець, і форум, де ви читаєте поради, дуже часто працюють на WordPress, отже, на PHP. Скомпрометований сервер може служити фальшивою сторінкою входу або замінити адресу депозиту, не змінюючи нічого на екрані.

Якщо ви адмініструєте сайт, оновлення займає менше часу, ніж Модхвадія витратив на вхід. Якщо ви його відвідуєте лише, остерігайтеся сайтів, які залишаються в <<обслуговуванні>> протягом тижня, і перевіряйте будь-яку адресу депозиту на другому джерелі. У Франції ANSSI закрила префектури, податки та Берсі на час виправлення, а пов’язана вразливість, названа Broccoli2Shell, отримала своє виправлення для Windows 26 жовтня.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.