北朝鮮に関連すると推定される韓国語を使用するハッカーが、プログラミング言語PHPの深刻なセキュリティ欠陥を狙った攻撃を開始したことが確認された。国家・業種別の1次攻撃対象リストが作成され、韓国が最優先地域に挙げられていることが明らかになった。
25日、シンガポールのサイバー脅威分析企業サイファーマによると、韓国語を使用する運営者2名が10月22日午前11時から31分間、追跡が困難な匿名ネットワーク『I2P』の非公開チャンネルでこの計画を議論している様子が捉えられた。
会話の中には具体的な作業指示が含まれている。運営者たちは、サーバーが外部に公開している情報の中からPHPのバージョンのみを静かに収集し、大規模な探索は行わないこと、またセキュリティ監視が強い対象は避けるよう指示した。21日にセキュリティ更新を完了したサーバーは別途表示し、攻撃対象から外すことになっている。
既に公開されている攻撃デモコード（PoC）は新たに作成せず、既存のものを利用し、自身のAIで効果が高い順に並べ、制御された試験環境で検証することにした。会話で共有された攻撃準備用サーバーのアドレス（IP）は15件である。
攻撃対象は3段階に分かれている。1次対象は政府機関や銀行などの金融機関で、韓国、アメリカ、日本、アラブ首長国連邦（UAE）、欧州連合（EU）、タイ、インドネシア、サウジアラビアが含まれる。製造業、物流・海運・港湾、空港・航空は2次対象、オンライン決済・取引プラットフォームや貿易会社、建設業者は3次対象である。
最も有力な侵入方法は、サーバーにファイルをアップロードするリクエストを巧妙に操作し、ログインなしでサーバーに命令を送ることである。ApacheウェブサーバーにPHPを基本方式で接続して使用している場所が最も危険である。サーバーアクセス権の販売、仮想資産の窃取、ランサムウェア攻撃の準備、アカウント情報の窃取など、さまざまな攻撃が予想される。国家に関連する情報収集活動も行われる可能性がある。
サイファーマは、これらの運営者が今年3月から同じチャンネルで活動していると把握している。PHP開発チームがセキュリティ更新を発表した10月21日以降も、彼らは更新を完了したサーバーを除外しながら攻撃対象リストを整備していた。サイファーマは、リストの1次版が出る25日を次の検討時点として提示した。
PHP2Shellは既に一般のハッカーの間でも標的となっている欠陥である。アマゾンのセキュリティチームは10月17日に初の攻撃試行を捉え、クラウドフレアは22日までに攻撃試行が数百万件あったと報告している。
韓国が最優先地域に挙げられたため、政府による先制的な対応が急務である。PHP8.1以下のバージョンは公式のセキュリティ更新が出ていないため、これを使用している公共・金融サーバーが存在するかどうかを政府が全数点検し、更新や外部ネットワークの分離を支援する必要がある。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
