« Steal My Bitcoin »: Seorang Pentester Mengantongi 2.000 Dolar dalam BTC dengan Mengeksploitasi PHP2Shell

<< Keamanan adalah proses, bukan produk. >> (Bruce Schneier, Secrets and Lies, 2000)

Sebuah brankas dengan pintu terbuka, sengaja. Pada hari Sabtu, 24 Oktober, peneliti keamanan James Pavur mengunggah server yang sengaja rentan terhadap kerentanan PHP2Shell dengan dompet bitcoin di dalamnya dan instruksi yang terdiri dari tiga kata, curi bitcoin saya. Sembilan belas jam kemudian, seorang pentester berusia 26 tahun yang tinggal di Inggris pergi dengan kunci-kuncinya.

Komunitas telah menaikkan hadiah dari 500 menjadi 2.000 dolar dalam waktu akhir pekan dan pemenangnya menyumbangkan sebagian kepada sebuah asosiasi penderita lupus. Proses yang mahal bagi Schneier ini memakan waktu tiga jam kerja efektif.

Poin Kunci

• Sebuah situs tantangan yang diluncurkan pada 24 Oktober mengekspos server PHP yang tidak diperbaiki dan hadiah dalam BTC
• Jaydip Modhwadia, alias Killa, mengambil alih mesin tersebut pada 25 Oktober pukul 15:47 UTC
• Beban kerjanya terdapat dalam sebuah skrip Python dan kurang dari dua puluh permintaan web
• Hadiah naik dari 500 menjadi 2.000 dolar berkat sumbangan komunitas
• CISA telah mencatat kedua kerentanan dalam katalog kerentanan yang dieksploitasi pada 26 Oktober

Steal My Bitcoin atau bug bounty yang dipersempit menjadi dompet

Prinsip bug bounty klasik melalui sebuah platform, formulir, dan komite yang menilai tingkat keparahan sebelum membayar. Pavur menghapus semua itu. Sebuah server, sebuah kerentanan yang dikenal, sebuah alamat bitcoin: yang pertama yang menjalankan kode di mesin tersebut melayani dirinya sendiri. Pembayaran adalah buktinya, dan blockchain berfungsi sebagai berita acara.

Mekanisme ini menarik. Menurut The Register, taruhan awal sebesar 500 dolar telah dilipatgandakan oleh komunitas, mencapai 2.000 dolar, atau sekitar 0,025 bitcoin pada hari Rabu, 28 Oktober sekitar 80.500 dolar.

Pemenangnya bernama Jaydip Modhwadia, seorang pengembang dan pentester yang tinggal di Inggris, dikenal dengan nama samaran Killa. Penghitung di situs menunjukkan << Bitcoin saya dicuri setelah 19,28 jam >>, tetapi yang bersangkutan merendahkan: dia telah bekerja << sekitar tiga jam total >>. Pavur telah menambahkan titik masuk PHP yang diperlukan untuk eksploitasi sekitar pukul 13:00 UTC pada 25 Oktober, dan eksekusi kode jarak jauh terjadi pada pukul 15:47 UTC.

Beban kerjanya terdapat dalam sebuah file Python tunggal dan << maksimal dua puluh permintaan HTTP >>. Skrip ini terutama menghindari ASLR, perlindungan yang secara acak mencampur alamat memori dari sebuah program untuk menyulitkan para penyerang. Kode tersebut tersedia secara publik di GitHub.

Modhwadia mengumumkan bahwa dia akan menyumbangkan sebagian dari hadiahnya kepada Lupus Foundation, yang berjuang melawan lupus, sebuah penyakit autoimun yang dideritanya sendiri. Pada tahun 2021, peretas Poly Network telah mengembalikan hadiahnya sebesar 500.000 dolar setelah mengembalikan 610 juta, untuk siapa pun yang bisa melakukannya lebih baik darinya.

PHP2Shell Masih Mengancam 32 Juta Server

Kedua kerentanan, CVE-2026-109618 dan CVE-2026-109619, mempengaruhi semua versi PHP sejak 5.4, dengan kata lain, mesin dari sebagian besar web global. Menurut Brian Krebs, Censys mencatat 2,58 juta host yang terpapar dan 54,9 juta properti web di bawah PHP pada saat perbaikan darurat pada 21 Oktober.

Patch tersedia: PHP 8.5.12, 8.4.27, 8.3.36, dan 8.2.35. Namun Censys, yang dikutip oleh The Hacker News, masih mencatat 32,51 juta layanan PHP pada versi yang rentan. CISA telah menambahkan kedua CVE ke dalam katalog kerentanan yang secara aktif dieksploitasi pada hari Senin, 26 Oktober, dengan tingkat keparahan 9,2 dari 10, dan memberi lembaga federal AS hingga 29 Oktober untuk memperbaiki. Eksekusi kode pertama di alam liar telah ditangkap di honey pots pada 24 Oktober, pada hari yang sama dengan peluncuran Steal My Bitcoin.

Bursa Anda mungkin tidak berjalan di bawah PHP, dan beberapa platform segera mengatakannya setelah peringatan yang diluncurkan oleh Changpeng Zhao. Namun, blog yang merekomendasikan dompet dan forum tempat Anda membaca saran sering kali berjalan di bawah WordPress, jadi di bawah PHP. Sebuah server yang dikompromikan dapat menyajikan halaman login palsu atau mengganti alamat deposit tanpa ada yang berubah di layar.

Jika Anda mengelola sebuah situs, pembaruan memakan waktu lebih sedikit daripada yang dihabiskan Modhwadia untuk masuk. Jika Anda hanya mengunjunginya, waspadalah terhadap situs yang telah dalam << pemeliharaan >> selama seminggu dan periksa setiap alamat deposit di sumber kedua. Di Prancis, ANSSI telah mematikan prefektur, pajak, dan Bercy selama waktu perbaikan, dan sebuah kerentanan terkait yang disebut Broccoli2Shell telah menerima perbaikan untuk Windows pada 26 Oktober.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.