PHP 远程执行漏洞被利用，TellYouThePass 勒索软件发起攻击

关键要点

攻击者利用 PHP 的关键远程执行漏洞CVE20244577来入侵服务器并部署勒索软件。Imperva 研究表明，攻击最早出现在 6 月 8 日，即 PHP 发布修复补丁的一两天后。TellYouThePass 勒索软件从 2019 年开始活跃，并针对 Windows 和 Linux 系统。安全团队应立即更新以修补相关漏洞，以防网络攻击者利用这些安全缺陷。

攻击者近日被观察到利用一种关键的远程执行漏洞，成功入侵 PHP 服务器并部署与 TellYouThePass 勒索软件相关的恶意软件。

根据 Imperva 的文章 透露，他们发现攻击者利用了高严重性的 PHP 漏洞 CVE20244577 最早在 6 月 8 日，也就是 PHP 的维护团队发布补丁后仅一两天。

PHP 是一种开源的服务器端脚本语言，目前被应用于创建动态网页，超过 75 的网站都依赖它来进行服务器端编程。

由于许多企业依赖 PHP 安装来运营其网站，攻击者在获得访问权限后能够轻易横向移动，Imperva 的研究人员建议安全团队应立即进行补丁更新。

TellYouThePass 勒索软件自 2019 年以来一直活跃，针对商业和个人用户的攻击活动涵盖 Windows 和 Linux 系统。它最为人知的是利用 CVE202144228 漏洞，即 Apache Log4j 漏洞，最近还被发现使用 CVE202346604。

极速云clash

大多数安全团队都非常了解，网络犯罪分子会密切关注公共披露和概念验证的发布，以迅速利用他们可以轻易利用的漏洞。Keeper Security 的联合创始人兼 CEO 达伦古基昂Darren Guccione表示，网络犯罪分子旨在通过未修补的 PHP 安装获得未经授权的系统访问权限，包括 CVE20244577 漏洞。

古基昂指出：“一旦成功入侵，他们便会在网络中横向移动，进一步入侵其他系统并寻找有价值的数据。”他呼吁安全团队在发布新安全更新后，应立刻应用以减少攻击者的机会窗口。

ColorTokens 的副总裁和 CISO 顾问阿尼迪普塔萨尔卡尔Agnidipta Sarkar补充道，理论上修补是一个简单的任务：只需应用补丁。尽管许多企业会这样做，萨尔卡尔强调，存在一个陷阱：PHP 是创建动态网页和复杂应用程序的最受欢迎的服务器端脚本语言之一。特别是实时部署 PHP 基于的应用程序、低安全重视的企业将更容易受到攻击。

“特别是那些可能没有计划 staging 环境以快速修复 PHP 漏洞的团队，”萨尔卡尔说，并建议团队考虑微分段的方法。