Akamai Technologiesはこのほど、「2024: Old CVEs, New Targets - Active Exploitation of ThinkPHP｜Akamai」において、ThinkPHPの古い脆弱性を悪用するサイバー攻撃のキャンペーンを発見したと報じた。このキャンペーンではThinkPHPを利用しているWebサイトに対しバックドア「Dama Webシェル」を展開するという。

2024: Old CVEs, New Targets - Active Exploitation of ThinkPHP｜Akamai

○「ThinkPHP」とは

今回攻撃の対象となった「ThinkPHP」は、中国のオープンソースPHPフレームワーク。モデルビューコントローラー(MVC: Model View Controller)アーキテクチャによるWebアプリケーション開発を支援する。

○侵害経路

Akamai Technologiesによると、今回のキャンペーンでは、次の2件の脆弱性が悪用されたという。

CVE-2018-20062 - ThinkPHPのApp.phpに任意のPHPコード実行の脆弱性

CVE-2019-9082 - ThinkPHPにリモートコード実行(RCE: Remote Code Execution)の脆弱性

攻撃者はこれら脆弱性を利用し、古いThinkPHPが動作しているWebサイトを侵害し、バックドアを設置する。このキャンペーンは2023年10月頃から特定の顧客、組織を標的に開始され、最近になり活動範囲が拡大したとされる。

○影響と対策

Akamai Technologiesの調査によると、この攻撃の多くは香港のクラウドプロバイダーの管理下にある複数のサーバから実行されたという。しかしながら、これらサーバにも同じバックドアが設置されていることから、攻撃者はこれらサーバーを踏み台にして攻撃を拡大したものとみられている。

なお、設置されるDama Webシェルには情報窃取、ファイルシステムの操作、データベースの窃取、シェルコマンドの実行、Windowsタスクスケジューラーの操作を介した特権ユーザーの追加機能などがあるとされる。

Dama Webシェルの操作画面　引用：Akamai Technologies

Akamai Technologiesはこの攻撃を回避するため、ThinkPHPを最新バージョンの8.0以降にアップデートすることを推奨している。しかしながら、ThinkPHPを組み込んでいるすべてのアプリケーションを最新版にアップデートできるとは限らない。そうした場合は、Akamai Technologiesの「Adaptive Security Engine」を備えた「App & API Protector」の導入を推奨している。