Technische Details des Angriffs
Das Cybersicherheitsunternehmen Dream hat eine hochentwickelte Cyberangriffskampagne beobachtet, die Firewalls durch die Ausnutzung einer Kette von Sicherheitslücken namens PHP2Shell ins Visier nimmt. Die Angreifer kombinieren zwei Schwachstellen in der Programmiersprache PHP (mit den Kennungen CVE-2026-109618 und CVE-2026-109619) mit einer Schwachstelle zur Privilegieneskalation im Linux-Kernel, die als Fragnesia (CVE-2026-46300) bekannt ist.
Die Angreifer nutzten die chinesische Suchmaschine für technische Assets FOFA, um 19.000 online verfügbare Firewalls zu identifizieren. Sie filterten die Ziele basierend auf dem geografischen Standort (USA, Japan, Taiwan und Südkorea) sowie den verwendeten PHP-Versionen, wodurch die Liste der potenziellen Ziele auf 240 Geräte reduziert wurde. Den Angreifern gelang es, 25 Firewalls zu kompromittieren, wobei sie Webshells als Schadsoftware installierten, um den dauerhaften Zugriff zu gewährleisten.
Warum sind diese Nachrichten wichtig?
Die Gefahr dieses Angriffs liegt in der Fähigkeit der Angreifer, von der Kompromittierung einer einzelnen Firewall zur vollständigen Kontrolle über die gesamte administrative Infrastruktur überzugehen. In einem dokumentierten Fall, der eine US-Regierungseinrichtung betraf, nutzten die Angreifer die kompromittierte Firewall als Plattform, um auf den internen Firewall-Management-Server zuzugreifen. Dies ermöglichte ihnen:
- Zugriff auf Netzwerkeinstellungen und sensible Anmeldedaten.
- Entschlüsselung von Passwörtern für LDAP-Dienstkonten.
- Aufzählung von Benutzern und Gruppen innerhalb der Domäne.
- Durchführung von Password-Spraying-Angriffen und Versuche, Backdoor-Konten im Active Directory zu erstellen.
Strategischer Kontext
Analysen deuten darauf hin, dass diese Operationen mit den strategischen Geheimdienstzielen von Akteuren übereinstimmen, die mit dem chinesischen Staat im Pazifikraum in Verbindung stehen. Obwohl der Angriff keiner spezifischen Gruppe namentlich zugeschrieben wurde, deutet die Art der Ziele und der verwendeten Techniken auf eine staatlich unterstützte technische Aktivität hin, was sensible Institutionen in den Zielländern vor eine Sicherheitsherausforderung stellt, die eine sofortige Aktualisierung der Systeme und das Schließen der genannten Schwachstellen erfordert.