« Steal My Bitcoin »: pentester zarabia 2000 dolarów w BTC, wykorzystując PHP2Shell

<< Bezpieczeństwo to proces, a nie produkt. >> (Bruce Schneier, Sekrety i kłamstwa, 2000)

Otwarty sejf, celowo. W sobotę 24 października, badacz bezpieczeństwa James Pavur uruchomił celowo podatny na luki serwer PHP2Shell z portfelem bitcoinowym w środku i hasłem składającym się z trzech słów: ukradnij mój bitcoin. Dziewiętnaście godzin później, 26-letni pentester z Wielkiej Brytanii odszedł z kluczami.

Społeczność zwiększyła nagrodę z 500 do 2000 dolarów w ciągu weekendu, a zwycięzca przekazał część na fundację chorych na toczeń. Proces, który według Schneiera zajął trzy godziny rzeczywistej pracy.

Kluczowe punkty

• Strona wyzwania uruchomiona 24 października ujawniała niepoprawioną lukę PHP oraz nagrodę w BTC
• Jaydip Modhwadia, znany jako Killa, przejął kontrolę nad maszyną 25 października o 15:47 UTC
• Jego ładunek mieści się w skrypcie Python i mniej niż dwudziestu zapytaniach webowych
• Pula wzrosła z 500 do 2000 dolarów dzięki darowiznom społeczności
• CISA wpisała obie luki do swojego katalogu podatnych luk 26 października

Steal My Bitcoin, czyli bug bounty ograniczone do portfela

Zasada klasycznego bug bounty polega na platformie, formularzu i komitecie oceniającym powagę przed wypłatą. Pavur usunął to wszystko. Serwer, znana luka, adres bitcoinowy: pierwszy, który uruchomi kod na maszynie, zabiera dla siebie. Płatność jest dowodem, a blockchain pełni rolę protokołu.

Mechanika przyciągnęła uwagę. Według The Register, początkowa stawka 500 dolarów została przez społeczność czterokrotnie zwiększona, osiągając 2000 dolarów, co odpowiada około 0,025 bitcoina przy kursie w środę 28 października wynoszącym około 80 500 dolarów.

Zwycięzcą jest Jaydip Modhwadia, programista i pentester z Wielkiej Brytanii, znany pod pseudonimem Killa. Licznik na stronie wyświetla << Mój bitcoin został skradziony po 19,28 godzinach >>, ale zainteresowany łagodzi: pracował << około trzy godziny łącznie >>. Pavur dodał punkt wejścia PHP, którego wykorzystanie było potrzebne około 13:00 UTC 25 października, a wykonanie kodu zdalnego miało miejsce o 15:47 UTC.

Jego ładunek mieści się w jednym pliku Python i << maksymalnie dwudziestu zapytaniach HTTP >>. Skrypt przede wszystkim omija ASLR, ochronę, która losowo miesza adresy pamięci programu, aby utrudnić życie atakującym. Kod jest publiczny na GitHubie.

Modhwadia ogłosił, że przekaże część wygranej fundacji Lupus Foundation, która walczy z toczniem, chorobą autoimmunologiczną, na którą sam cierpi. W 2021 roku haker Poly Network oddał swoją nagrodę w wysokości 500 000 dolarów po zwróceniu 610 milionów, dla tego, kto zrobiłby lepiej niż on.

PHP2Shell wciąż zagraża 32 milionom serwerów

Obie luki, CVE-2026-109618 i CVE-2026-109619, dotyczą wszystkich wersji PHP od 5.4, czyli silnika dużej części globalnej sieci. Według Briana Krebsa, Censys rejestrował 2,58 miliona narażonych hostów i 54,9 miliona właściwości webowych działających na PHP w momencie pilnych poprawek z 21 października.

Poprawki istnieją: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ale Censys, cytowany przez The Hacker News, wciąż liczył 32,51 miliona usług PHP na podatnej wersji. CISA dodała obie CVE do swojego katalogu aktywnie wykorzystywanych luk w poniedziałek 26 października, z oceną powagi 9,2 na 10, i dała amerykańskim agencjom federalnym czas do 29 października na poprawę. Pierwsze wykonanie kodu w naturze zostało uchwycone na pułapkach 24 października, w dniu uruchomienia Steal My Bitcoin.

Twoja giełda prawdopodobnie nie działa na PHP, a kilka platform pośpieszyło, aby to ogłosić po ostrzeżeniu wydanym przez Changpeng Zhao. Ale blog, który poleca ci portfel, i forum, na którym czytasz porady, często działają na WordPressie, więc na PHP. Sk compromised server can serve a fake login page or replace a deposit address without anything changing on the screen.

Jeśli zarządzasz stroną, aktualizacja zajmuje mniej czasu niż Modhwadia potrzebował na wejście. Jeśli tylko ją odwiedzasz, uważaj na strony, które pozostają w << konserwacji >> od tygodnia i sprawdź każdy adres depozytu w drugiej źródle. We Francji ANSSI nakazała zamknąć prefektury, podatki i Bercy na czas naprawy, a powiązana luka nazwana Broccoli2Shell otrzymała swoją poprawkę dla Windows 26 października.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.