Похоже, что после глобального кризиса в сфере кибербезопасности хакерам становится все труднее использовать уязвимости PHP

Спустя сутки после того, как правительства разных стран мира предупредили, что недавно обнародованные уязвимости программного обеспечения настолько серьезны, что веб-сайтам следует рассмотреть возможность отключения до устранения проблемы, эксперты и инсайдеры отмечают, что сообщений о широкомасштабном ущербе практически нет, если они вообще есть. Конечно, ситуация ещё может измениться, и эксперты по кибербезопасности предупреждают, что угроза сохранится в течение нескольких недель, а то и дольше. Тем не менее, в четверг появились первые признаки того, что хакерам сложно воспользоваться этими уязвимостями. «По всем нашим телеметрическим данным — а мы тщательно их анализируем — мы зафиксировали лишь пару реальных попыток злоупотребления», — сказал Дон Смит, вице-президент по исследованию угроз в британской компании Sophos, специализирующейся на безопасности программного обеспечения. Эксперты сходятся во мнении, что отчасти это произошло благодаря глобальным усилиям, проводившимся за кулисами, в ходе которых была выявлена уязвимость и незаметно разработано исправление для её устранения. Этим усилиям непреднамеренно способствовали существующие ограничения некоторых широко доступных моделей искусственного интеллекта, которые, по-видимому, оказались не слишком полезными при эксплуатации этих уязвимостей. И, возможно, как отмечают эксперты, немного повезло. «Мне кажется, что эти [уязвимости] сложнее использовать, чем люди думали сначала, так что ситуация может развиваться медленно», — сказал Смит. Уязвимости были обнаружены в PHP — языке программирования веб-сайтов, который, по оценкам, используется примерно на 69 % всех веб-сайтов. После того как в августе исследователи незаметно обнаружили две разрушительные уязвимости в программном обеспечении, они объединили усилия, преодолев границы и дисциплинарные барьеры, чтобы разработать исправления, которые были выпущены во вторник утром. Это привело к необычной ситуации, когда государственные органы — от ФБР и Агентства национальной безопасности до европейских органов по кибербезопасности и австралийских спецслужб — единодушно рекомендовали веб-сайтам приостановить работу до тех пор, пока не будут внедрены исправления. И десятки крупных веб-сайтов по всему миру именно так и поступили. Эксперты утверждают, что имеется множество доказательств того, что хакеры неустанно сканируют эти уязвимости в поисках способов использовать их для атак на целевые объекты. Однако исследователи и представители девяти ведущих компаний отрасли — CrowdStrike, ESET, Google Threat Intelligence Group, Huntress, Palo Alto Networks, Recorded Future, SecureWorks, Sophos и Trail of Bits — сообщили NBC News, что по состоянию на вечер четверга они не зафиксировали ни одной успешной атаки. «Мы пока не наблюдали реальных случаев эксплуатации этих уязвимостей PHP», — сказала Шеррод ДеГриппо, вице-президент по анализу угроз в подразделении Unit 42 компании Palo Alto Networks. «Мы обнаружили более 200 примеров эксплойтов, подтверждающих возможность эксплуатации уязвимостей, и активно исследуем их все», — добавила она, имея в виду программы, которые, как утверждается, могут использовать эти уязвимости PHP. «Вопрос о том, существуют ли в настоящее время активные эксплойты, — это лишь вопрос времени». Хотя сама уязвимость теоретически была разрушительной, с технической точки зрения её было очень сложно взломать, отметил Дэн Гвидо, генеральный директор компании Trail of Bits, занимающейся исследованиями и консалтингом в области кибербезопасности. Гвидо рассказал, что одному из его сотрудников, имеющему 10-летний стаж работы, потребовался целый день, чтобы взломать уязвимости с помощью передовой модели искусственного интеллекта. Amazon Web Services сообщила, что использовала «медовые ловушки» — поддельные веб-сайты, которые исследователи в области кибербезопасности создают для обмана и отслеживания хакеров, — чтобы обнаружить доказательства того, что хакеры пытались воспользоваться уязвимостью PHP как минимум за четыре дня до того, как она была обнародована. «Технический анализ продолжается, и пока неясно, увенчались ли бы эти попытки успехом в реальных системах», — сообщила компания в своём блоге. Мэтью Принс, генеральный директор Cloudflare, одной из самых популярных хостинг-компаний в Интернете, заявил, что компания в течение нескольких месяцев вела переговоры о том, как исправить эту уязвимость, и что ни один из его клиентов не пострадал. «Самое страшное здесь то, что что-то могло быть скомпрометировано совершенно незаметно», — сказал Принс. «Публичных доказательств того, что сервер был взломан, может и не быть, а хакер может просто сидеть там, ожидая». Хотя «спящие» злоумышленники всегда представляют потенциальную угрозу в любом сценарии взлома, Гвидо из Trail of Bits отметил, что важно помнить: для взлома сложного веб-ресурса требуется нечто большее, чем просто экспериментальный код и немного удачи. Это особенно актуально для хакеров, которые полагаются на модели искусственного интеллекта с открытой весовой матрицей — те, с которыми они могут экспериментировать и из которых могут удалять ограничительные механизмы для облегчения своих операций. Эти модели не так мощны, как те, что доступны передовым исследователям в области кибербезопасности, и, как правило, они с трудом справляются со сложными уязвимостями, такими как недостатки PHP. «Многие путают доказательство концепции с эксплойтом, — сказал он. — Оказывается, для написания эксплойтов по-прежнему требуются специальные знания. Это невозможно просто сымитировать».