Tellyouthepass fidye yazılımı çetesi, web kabukları sunmak ve hedef sistemlerde şifreleme yükünü yürütmek için PHP'de yakın zamanda yamalı CVE-2024-4577 uzaktan kod yürütme güvenlik açığından yararlanıyor.
Saldırılar 8 Haziran'da, PHP'nin koruyucuları tarafından güvenlik güncellemelerinin yayınlanmasından 48 saat sonra başladı ve halka açık istismar koduna dayanıyordu.
Tellyouthepass fidye yazılımı, geniş bir etkiye sahip güvenlik açıkları için kamuya açık istismarlara hızla atlamakla bilinir. Geçen Kasım ayında saldırılarda bir Apache Activemq RCE kullandılar ve Aralık 2021'de şirketleri ihlal etmek için Log4J istismarını kabul ettiler.
Siber güvenlik şirketi Imperva'daki araştırmacılar tarafından tespit edilen son saldırılarda Tellyouthepass, kötü niyetli bir HTML uygulaması (HTA) dosyasını çalıştırmak için Windows MSHTA.exe Biner'ı kullanarak keyfi PHP kodunu yürütmek için eleştirel-sözlü CVE-2024-4577 hatasını kullanıyor.
Imperva araştırmacıları, bu dosya, fidye yazılımının bir .NET varyantını ana bilgisayarın belleğine yükleyen bir ikili haline getiren baz64 kodlu bir dizeye sahip VBScript içerir.
Yürütme üzerine, kötü amaçlı yazılım, bir CSS kaynak isteği olarak gizlenmiş bir komut ve kontrol (C2) sunucusuna bir HTTP isteği gönderir ve enfekte makinedeki dosyaları şifreler.
Daha sonra kurbanın dosyalarını nasıl geri yükleyeceğine dair talimatlarla "Read_me10.html" fidye notu yerleştirir.
BleepingComputer forumundaki kullanıcı yayınları, tellyouthepass saldırılarının 8 Haziran'dan bu yana kurbanlar talep ettiğini ve fidye notunun şifreleme anahtarı için 0.1 BTC (yaklaşık 6.700 $) talep ettiğini gösteriyor.
Web sitesini barındıran bir bilgisayarı olan bir kullanıcı, tellyouthepass fidye yazılımı kampanyasının MulptiPle web sitelerini etkilediğini buldu.
CVE-2024-4577, 5.x'den beri tüm PHP sürümlerini etkileyen kritik bir RCE güvenlik açığıdır. CGI modunda kullanıldığında pencerelerde güvenli olmayan karakter kodlama dönüşümlerinden kaynaklanır.
Güvenlik açığı 7 Mayıs'ta PHP ekibine bildiren Devcore'un Orange Tsai tarafından keşfedildi. 6 Haziran'da PHP sürümleri 8.3.8, 8.2.20 ve 8.1.29'un yayınlanmasıyla bir düzeltme yapıldı.
Yama'dan bir gün sonra Cuma günü, WatchTowr Labs Consept Durumu (POC) CVE-2024-4557 için istismar kodu yayınladı. Aynı gün, Shadowserver Vakfı, balkeslerinde sömürü girişimlerini gözlemledi.
Dün Censys'in bir raporuna göre, çoğu ABD ve Almanya'da bulunan CVE-2024-4577 RCE güvenlik açığına karşı savunmasız olabilecek 450.000'den fazla açık PHP sunucusu var.
Wiz Cloud Security Startup, bu örneklerden kaçının savunmasız olabileceğine dair daha spesifik bir tahmin verdi ve sayıyı yaklaşık%34'e çıkardı.
PHP, Windows için tüm sürümleri etkileyen kritik RCE kusurunu düzeltir
Palo Alto Networks Backdoor Güvenlik Duvarlarına Sökülen Zero Day'i düzeltiyor
Maksimum Ceza Fortinet RCE Bug, Patch şimdi piyasaya sürülen istismar
Kritik akıcı bit kusuru tüm büyük bulut sağlayıcılarını etkiler
QNAP QTS Sıfır Günündeki Paylaşım Özelliği Halka Giriyor RCE istismar
Kaynak: Bleeping Computer