![Vulnerabilidade PHP Vulnerabilidade PHP](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgUWsZNOreAdgvj-xKIuQccnrXUDt99Ud09fJifvhAvZ5XgfHp4UsdicXtwwrc2ewEUHJwLCVzrm0UcugeHRCZWEB_igoSpcdQlhKlZxaZ_GeqA-mv9dZcqXsM0LqwDNgMMgex4_2Vop4KXl0gQhlz7WU-elg-k8C4xf01Fx4X7-jyn0YUVIiTaY3Oo1Rml/s728-rw-e365/php.png?w=780&ssl=1)
Um backdoor anteriormente não documentado chamado Msupedge foi usado contra um ataque cibernético direcionado a uma universidade não identificada em Taiwan.
“O recurso mais notável desse backdoor é que ele se comunica com um servidor de comando e controle (C&C) por meio de tráfego DNS”, disse a Symantec Risk Hunter Workforce, parte da Broadcom, em um relatório compartilhado com o The Hacker Information.
As origens do backdoor são atualmente desconhecidas, assim como os objetivos por trás do ataque.
![Segurança cibernética](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi2H3KGarNwUXw2G9bTmqTFZkjtGyffuGXwM5zNDNY926RbGgqkg2rV_QdswEuTgvutXtTMueFpLLsVRPnkKK9eQB4QwkBSDt5BdMgEyXaxPGeiRRcvBUNOAvYYnjAndCRT9Z_9VIofxJL9FEoxeouzHV_MU0wT7M-H-_sd5BT-LzSVvjmYhjrhD-lfl2Q2/s728-rw-e100/inside-a-d.jpg?resize=727%2C90&ssl=1)
Diz-se que o vetor de acesso inicial que provavelmente facilitou a implantação do Msupedge envolveu a exploração de uma falha crítica recentemente divulgada que afeta o PHP (CVE-2024-4577, pontuação CVSS: 9,8), que poderia ser usada para obter execução remota de código.
O backdoor em questão é uma biblioteca de vínculo dinâmico (DLL) que é instalada nos caminhos “csidl_drive_fixedxampp” e “csidl_systemwbem”. Uma das DLLs, wuplog.dll, é iniciada pelo servidor HTTP Apache (httpd). O processo pai para a segunda DLL não está claro.
O aspecto mais notável do Msupedge é sua dependência do tunelamento DNS para comunicação com o servidor C&C, com código baseado na ferramenta dnscat2 de código aberto.
“Ele recebe comandos executando resolução de nome”, observou a Symantec. “O Msupedge não só recebe comandos through tráfego DNS, mas também usa o endereço IP resolvido do servidor C&C (ctl.msedeapi(.)web) como um comando.”
Especificamente, o terceiro octeto do endereço IP resolvido funciona como um caso de change que determina o comportamento do backdoor subtraindo sete dele e usando sua notação hexadecimal para disparar respostas apropriadas. Por exemplo, se o terceiro octeto for 145, o valor recém-derivado se traduz em 138 (0x8a).
Os comandos suportados pelo Msupedge estão listados abaixo –
- 0x8a: Crie um processo usando um comando recebido por meio de um registro DNS TXT
- 0x75: Baixar arquivo usando uma URL de obtain recebida por meio de um registro DNS TXT
- 0x24: Dormir por um intervalo de tempo predeterminado
- 0x66: Dormir por um intervalo de tempo predeterminado
- 0x38: Crie um arquivo temporário “%temppercent1e5bf625-1678-zzcv-90b1-199aa47c345.tmp” cuja finalidade é desconhecida
- 0x3c: Exclua o arquivo “%temppercent1e5bf625-1678-zzcv-90b1-199aa47c345.tmp”
![Segurança cibernética](https://i0.wp.com/blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgOgdSfrS_yHoZPFJoZ5_OerKJ2U-kw-e9RRvvw0jcPMFxPVoehVj0lql2GCIFXI-7mX8QG7vt-UizONWkKz1rof-0jZ8Z5UN9dhfKskmwoWtviYH6UX7lVBfebTQzrkXinbeV3xWzdUCHDGm1ngBUck3ljYO8bHbLRWXGxMEVu4q2AZDZsdE4l0yrnjtdG/s728-rw-e100/cis-d.png?resize=727%2C90&ssl=1)
O desenvolvimento ocorre no momento em que o grupo de ameaças UTG-Q-010 foi vinculado a uma nova campanha de phishing que utiliza criptomoedas e iscas relacionadas a empregos para distribuir um malware de código aberto chamado Pupy RAT.
“A cadeia de ataque envolve o uso de arquivos .lnk maliciosos com um carregador DLL incorporado, terminando na implantação de payload Pupy RAT”, disse a Symantec. “Pupy é um Trojan de acesso remoto (RAT) baseado em Python com funcionalidade para carregamento reflexivo de DLL e execução na memória, entre outros.”