Avui no capturem el capità SPHParrow!

Què ha passat?

PHP és un dels llenguatges de programació més antics d’internet. Creat el segle xx i sempre molt popular. Per això, es va integrar (i continua integrat) en innombrables llocs web i aplicacions. Molts desenvolupadors continuen utilitzant-lo per complementar codi en altres llenguatges, i el codi font PHP es continua reutilitzant.

El 21 d’octubre es va publicar la vulnerabilitat PHP2Shell. En realitat, va ser una filtració inesperada. Pots consultar-ne els detalls tècnics aquí i aquí. Aquestes dues vulnerabilitats, que s’han detectat mitjançant intel·ligència artificial, permeten a atacants prendre el control de llocs web que utilitzen PHP o de programari web basat en PHP, com Drupal, Joomla, MediaWiki i WordPress o similars. Un cop aconseguit el control, l’atacant pot robar dades, compilar informació personal i financera (inclosa informació de pagaments), utilitzar la plataforma per a altres atacs, distribuir codi maliciós o, simplement, alterar l’aparença de la pàgina web per danyar la reputació.

La difusió de la vulnerabilitat va desencadenar un moviment urgent a escala mundial per protegir els serveis vulnerables. Mentre actors hostils aprofitaven per identificar i atacar servidors vulnerables, les autoritats llançaven comunicacions conjuntes per alertar sobre PHP2shell a empreses, organismes públics, governs i ciutadans. Els mitjans de comunicació i les xarxes socials bullien amb articles, publicacions, opinions i anàlisis tècniques. Molts CISO (ho prometo!) ho van parar tot per mirar de resoldre el problema. En aquell moment, només hi havia una solució tècnica per a PHPv8, l’última versió. Així que molts llocs web simplement van haver d’apagar-se i esperar una solució tècnica adequada. 

En definitiva, molta activitat, molt debat i, sobretot, impactes clars en el negoci.

Les males notícies sobre PHP2shell

I aquesta ha estat la conseqüència més evident de l’incident: el seu impacte en el negoci.

En el millor cas, els llocs web i els serveis empresarials vulnerables van necessitar unes quantes hores per instal·lar pedaços i actualitzacions, però ja han reprès l’activitat amb un impacte mínim. Nombroses pàgines web continuen sense estar disponibles. Algunes trigaran setmanes a recuperar la normalitat, perquè potser hagin de reprogramar el programari que depèn de PHP, o fer canvis més profunds. L’apagada preventiva de webs va alterar l’activitat de molts usuaris. Però també implica que serveis web habituals no estiguin disponibles, hi hagi transaccions retardades o inviables, processos interns que no funcionen i, potser, alguns han tornat a treballar amb paper.

També hi ha un cost menys tangible: la confiança. Quan desapareixen els serveis TI habituals per fallades en la seva tecnologia, és comprensible que ens preguntem fins a quin punt ens podem fiar dels serveis i les infraestructures digitals. I que algú es mostri reticent als serveis que fan servir aquestes tecnologies. No podem culpar els qui en desconfien quan troben motius per pensar «Això té bona pinta, però pot caure en qualsevol moment».

Per descomptat, no podem oblidar els webs que van ser atacats amb èxit. Tot i que hi ha informes d’atacs amb èxit de PHP2shell, no són públics i cap empresa ha revelat haver estat víctima d’una intrusió d’aquesta mena. En qualsevol cas, us desitgem el millor. I us oferim la nostra ajuda als qui estigueu en aquest escenari.

Les bones notícies

Però no vull quedar-me en la part dolenta. Veig almenys tres bones notícies que surten d’aquest embolic.

En primer lloc, ja coneixem una greu deficiència i com resoldre-la. El perill subjacent ja hi era abans de conèixer la notícia; descobrir-lo abans permet prendre mesures abans que els atacants puguin aprofitar-lo. Tot i que els pedaços són pedaços d’emergència, ens donen una solució per a les versions de PHP compatibles. Les organitzacions poden aplicar un pla d’acció concret, en comptes d’afrontar una fallada inexplicable que no saben solucionar. Podem començar amb aquest treball abans que la situació empitjori.

En segon lloc, els investigadors en matèria de seguretat van utilitzar la intel·ligència artificial per identificar aquesta vulnerabilitat. La IA ha demostrat una capacitat útil per a les accions defensives, ja que detecta punts febles que són difícils de detectar amb tècniques convencionals. Això no significa que la IA o els seus resultats ara siguin universalment fiables o predictibles; encara necessitem investigadors amb experiència per avaluar i verificar les troballes, i processos de comunicació consolidats que assegurin que «els bons» coneixem els problemes i les seves solucions abans que «els dolents». Però sí que posa de manifest per què una IA supervisada amb cura pot reforçar la seguretat: podem (tornar a) revisar el nostre programari. I els problemes que abans se subestimaven poden convertir-se en troballes sobre les quals actuar i, així, solucionar-los.

En tercer lloc, els professionals de la seguretat fa molt temps que s’enfronten a una frustració habitual: identifiquen els riscos, els comuniquen a la direcció, però després tenen dificultats per aconseguir l’atenció, i els recursos!, necessaris per abordar-los. Molts directius no solen estar al corrent de l’estat de la ciberseguretat de la seva organització. Però a PHP2shell ha ocorregut un altre escenari. Van ser els directius els qui van exigir solucions urgents i en van supervisar la implantació. Fins i tot quan aquestes exigències eren excessives o fixaven terminis poc realistes, aquest nivell de compromís ha estat una novetat agradable. Potser ha estat impulsat per la gran repercussió pública de l’incident, però també representa un objectiu que els professionals de la ciberseguretat persegueixen des de fa temps: la participació i el suport actius de la direcció, juntament amb l’autoritat, els recursos i el temps necessaris per protegir els serveis de manera eficaç.

Què ve ara?

Aquest episodi PHP2Shell probablement no sigui l’últim.

Els professionals de la ciberseguretat esperem que les IA que investiguen vulnerabilitats, com Mythos, trobin aviat noves debilitats en altres tecnologies d’ús generalitzat.

Sospitem que la nostra estratègia actual de gestió de vulnerabilitats i apedaçament no podrà assumir un augment brusc del volum de problemes descoberts. I haurem d’evolucionar cap a estratègies de resposta més àgils i adaptades al ritme de la intel·ligència artificial.

Sempre preferirem millorar la nostra preparació investigant possibles vulnerabilitats i desenvolupant respostes davant incidents planificades i autònomes, abans que assabentar-nos d’una vulnerabilitat crítica per un atac sense tenir una solució aplicable. I tindrem preparats plans de resiliència digital i de continuïtat de negoci, llestos per a la seva activació.

Autor: Mariano Benito