Dream раскрыла кампанию по взлому межсетевых экранов Palo Alto Networks. Злоумышленник объединил две уязвимости: PHP2Shell позволяла выполнить код через веб-интерфейс управления PAN-OS, а Fragnesia повышала права до root через ядро Linux. Всё это запускалось одним HTTP-запросом без учётных данных.
Подготовка была основательной. Для разных версий PAN-OS созданы отдельные профили с памятными смещениями и параметрами эксплуатации. Из примерно 19 тысяч найденных через FOFA устройств ответили около 5 тысяч. После фильтрации по стране и версии осталось 240 целей, из которых автоматический скрипт взломал 24. Двадцать два сервера просто оставили с веб-шеллами про запас.
Два устройства привели в правительственную среду США. Через reverse SSH-шлюз злоумышленник проник во внутреннюю сеть и взломал сервер централизованного управления межсетевыми экранами — общее число пострадавших достигло 25. На нём он расшифровал пароль LDAP-сервисной учётной записи, получил список пользователей и групп Active Directory, начал подбор паролей и попытался создать скрытые учётные записи. Удалось ли извлечь ключи SAML или закрепиться в домене, исследователи не знают.
На инфраструктуре атакующего нашли Claude Code и наступательную платформу aiscan с DeepSeek и Kimi. Стиль примерно сорока скриптов намекает на помощь AI, но прямых доказательств этого нет. Полностью автономной государственной операцией атака не выглядит. Unit 42 связывает её с китайскоязычным злоумышленником в часовом поясе UTC+8, не называя конкретную группу.
Palo Alto Networks подтвердила выводы и выпускает исправленные версии PAN-OS. Главный практический урок: открытый наружу интерфейс управления может стать входом не только в устройство, но и во всю систему идентификации организации.
В руках атакующего оказались полная сетевая топология, закрытые ключи устройств и данные для повторного доступа. Исследователи предполагают, что обратный туннель и веб-шеллы могут оставаться активными.