Sites em todo o mundo foram atingidos por milhões de tentativas de explorar uma vulnerabilidade recentemente descoberta em seu código, disseram empresas de segurança cibernética, enquanto os EUA alertavam que a falha poderia permitir que invasores assumissem o controle de servidores web, roubassem dados e interrompessem serviços.
O problema na linguagem de programação PHP, que sustenta cerca de 70% dos sites do mundo, surgiu na quarta-feira, fazendo com que governos e empresas retirassem seus sites da Internet antes que pudessem ser atacados e assim pudessem corrigir a falha.
No Reino Unido, 32 serviços governamentais foram colocados offline, disse ao parlamento a ministra da segurança cibernética, Liz Lloyd. Ela disse que isso “resultou em grande parte de medidas de precaução” enquanto as atualizações eram aplicadas. Downing Street disse que nenhum serviço crítico público foi afetado e “alguns serviços limitados podem estar temporariamente offline”, mas isso não significa que tenham sido hackeados.
O site dos Traidores da BBC foi um dos que caiu na quinta-feira, enquanto o governo se recusou a identificar os sites afetados, dizendo que os serviços estavam sendo revisados, atualizados e voltando a ficar online. O Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido enviou 50.000 alertas às organizações afetadas, mas disse não ter relatos de hacks bem-sucedidos como resultado da falha. Outros sites supostamente afetados temporariamente incluem o Internet Archive, Wikipedia e 4Chan.
A vulnerabilidade suscitou preocupação especial sobre a vulnerabilidade contínua dos sistemas utilizados pelas escolas, governos locais e instituições de caridade, que podem não ter apoio dedicado à segurança cibernética para executar a correção. O NCSC disse que a escala da vulnerabilidade era “sem precedentes” e que o patch não funcionaria para algumas organizações que executam sistemas mais antigos, e estes teriam de ser substituídos. A Câmara de Comércio Britânica, que representa milhares de empregadores, disse que ainda não estava a causar dificuldades significativas às empresas.
Ciaran Martin, antigo executivo-chefe do NCSC, descreveu a falha como “muito ruim”, dizendo que, embora a maioria das vulnerabilidades de software da Internet não importasse, esta era “a vulnerabilidade mais séria descoberta em cinco anos”. O ex-chefe do GCHQ, David Omand, alertou que a Rússia e a China poderiam tentar explorar o bug.
No entanto, Ryan Austin, pesquisador da empresa de segurança cibernética Calif, que foi fundamental para descobrir a falha, disse: “No momento, não parece que a exploração tenha decolado ou se generalizado”.
A falha levou os governos a agir, com a Agência de Segurança Nacional dos EUA afirmando que poderia permitir que invasores assumissem o controle de servidores web, roubassem dados confidenciais, interrompessem serviços e se aprofundassem em uma rede. Os sites do governo foram rapidamente retirados do ar para que o patch pudesse ser instalado e muitos voltassem a ficar online logo depois.
Numa atualização durante a noite de quarta-feira e quinta-feira, Matthew Prince, executivo-chefe da empresa de segurança cibernética CloudFlare, disse que a empresa encontrou dezenas de milhares de tentativas de explorar a fraqueza nos 45 minutos após o anúncio do problema, aumentando para “centenas de milhares em duas horas, e milhões agora”.
A Amazon Threat Intelligence, outra empresa de segurança cibernética, disse que o PHP2Shell, como a vulnerabilidade é conhecida, estava “agora sendo amplamente explorado” e identificou várias tentativas de vários atores para testar maneiras de capitalizar a vulnerabilidade antes que a correção fosse lançada pelos desenvolvedores do PHP na quarta-feira.
A CloudFlare também disse que nas 10 horas anteriores à vulnerabilidade ser anunciada publicamente, houve milhares de tentativas de explorá-la, em meio a preocupações com o tratamento do alerta. Um especialista em segurança cibernética, Prof Alan Woodward, disse que a falha foi revelada um dia antes do lançamento do patch e que “alguém deixou o gato escapar”.
após a promoção do boletim informativo
A vulnerabilidade do PHP poderia permitir que atores hostis “apoderassem-se dos recursos” de sites expostos, disse MichaÅ‚ Woźniak, especialista em infraestrutura de Internet. Um site, como Slack ou Wikipedia, tem acesso ao poder de computação, servidores e endereços IP que o localizam na internet. Em muitos casos, esta infraestrutura é gerenciada e mediada por PHP.
Grupos criminosos, hackers patrocinados pelo Estado ou mineradores de criptografia podem “aninhar-se” em sites expostos usando esta vulnerabilidade do PHP e depois explorar esses recursos para seus próprios objetivos. Um grupo de hackers poderia usar o endereço IP de um site exposto para lançar ataques que não poderiam ser rastreados até ele. Os mineradores de criptografia poderiam usar o poder de computação de um servidor para executar gratuitamente seus cálculos que consomem muita energia.
Não ficou claro em que escala isso foi feito, disse Woźniak, e muitos locais nem sequer teriam conhecimento disso.
Wiz, uma das organizações de pesquisa que descobriu as vulnerabilidades, disse que esta estava indiscutivelmente entre as vulnerabilidades de software mais graves já descobertas. “As falhas subjacentes estavam presentes há décadas, mas demonstrar a sua capacidade de exploração exigia uma cadeia de passos excepcionalmente complexa, no limite do que os investigadores humanos poderiam alcançar na prática”, afirmou num blog. “Os modelos de IA de fronteira reduziram substancialmente essa barreira, transformando uma falha de longa data em uma exploração.”
“Os ciberatores provavelmente usarão o PHP2Shell como arma”, disse a NSA. “Esses riscos são graves o suficiente para exigir correções imediatas em todos os departamentos e agências do governo dos EUA.”
O governo da Coreia do Sul disse na quinta-feira que estava ativando medidas de resposta a emergências, aumentando o nível de alerta de segurança cibernética do setor privado e emitindo orientações a dezenas de milhares de empresas sobre como resolver o problema.
O ministério da indústria da China instou as organizações a inspecionarem imediatamente os seus sistemas e atualizarem para a versão segura mais recente do PHP, e recomendou o fortalecimento do monitoramento da segurança cibernética, alterando senhas e chaves. O primeiro-ministro do Japão incentivou empresas e organizações a corrigirem a vulnerabilidade – ou encerrarem os seus sites.
