Betroffen sind nach Angaben von Dream bestimmte Versionen der Firewall-Software eines großen Herstellers. Dessen Namen nannte das Unternehmen nicht, erklärte aber, den Hersteller informiert zu haben. „Der Angreifer startete daraufhin Angriffe gegen Active Directory. Die wiederhergestellten Artefakte bestätigen das Auslesen von Zugangsdaten und die Aufzählung des Verzeichnisses", so Dream.

Die Angriffskette verbindet zwei Schwachstellengruppen:

„Die von uns rekonstruierte Implementierung ist ein eigener, nicht öffentlicher Build und keine Kopie eines bekannten öffentlichen Exploits für PHP2Shell", erklärten die Forscher von Dream. Sie folge demselben Grundkonzept, sei aber offenbar unabhängig entwickelt und gezielt auf die angegriffene Firewall-Plattform zugeschnitten worden. Angegriffen werde der Mechanismus session.upload_progress von PHP auf dem appweb-Managementserver der Firewall. Das Firewall-Betriebssystem nutze PHP 8.0.30 mit einem hohen Speicherlimit, was die Stufen der Speicherkorruption überhaupt erst ermögliche.

Gefundene Artefakte deuten darauf hin, dass die Operation mit der Exploit-Entwicklung in einer Laborumgebung begann, bevor dauerhafter Zugang zur internen Active-Directory-Domäne einer US-Regierungsorganisation erlangt wurde. „Nach der Übernahme konzentrierte sich der Angreifer auf drei konkrete Server in einer mit der US-Regierung verbundenen Umgebung", so das Unternehmen.

Die Hinweise auf KI-Unterstützung ergeben sich aus der Installation von Anthropics Claude Code in der Angriffsinfrastruktur sowie aus vorgefundenen API-Schlüsseln für FOFA und für eine KI-gestützte Offensiv-Plattform namens aiscan, die mit großen Sprachmodellen von DeepSeek und Kimi konfiguriert war. Zusätzlich sprechen Codestruktur, Kommentarstil und die Einheitlichkeit über knapp 40 Skripte hinweg dafür, dass KI den Entwicklungsprozess unterstützt hat.

Der Ablauf der Operation stellt sich laut Dream so dar:

  • Über FOFA identifiziert der Angreifer weltweit rund 19.000 aus dem Internet erreichbare Firewalls mit offenliegenden Managementoberflächen.
  • Ein eigener Versionsscanner prüft, welche Geräte online sind und welche Betriebssystemversion sie ausführen; etwa 5.000 Geräte liefern Versionsangaben zurück.
  • Gefiltert wird auf Systeme in den USA, Japan, Taiwan und Südkorea sowie auf neuere Release-Zweige mit PHP 8.0.30 – es bleiben 240 Ziele.
  • Die Zielliste geht an einen automatisierten Batch-Runner, der die Kette aus PHP2Shell und Fragnesia ausnutzt, eine PHP-Webshell in einem öffentlich erreichbaren Verzeichnis der Firewall ablegt, den Root-Zugriff verifiziert und Hostname sowie IP in eine CSV-Datei schreibt. Auf diesem Weg erlangt der Angreifer Root auf 24 Servern.

Zwei der kompromittierten Systeme werden einer mit der US-Regierung verbundenen Organisation zugeordnet. Eines davon stürzt kurz nach der Übernahme am 23. Oktober 2026 um 18:14 Uhr UTC ab und kommt nicht wieder online. In einer eigens darauf ausgerichteten Kampagne übernimmt der Angreifer am 24. Oktober 2026 um 10:09 Uhr UTC ein zweites System.

Über dieses zweite System baut er einen dauerhaften Kanal ins interne Netz auf: Ein umgekehrter SSH-Tunnel verbindet die kompromittierte Firewall zurück mit der Infrastruktur des Betreibers. Um 11:35 Uhr UTC wird ein dritter Regierungsserver auf dieselbe Weise übernommen – mit dem Unterschied, dass es sich um einen internen Firewall-Managementserver handelte, der nur durch den Tunnel erreichbar war. Damit steigt die Gesamtzahl der übernommenen Server auf 25.

Im Active Directory entschlüsselt der Angreifer das Passwort des LDAP-Dienstkontos, zählt Benutzer auf und führt Password-Spraying gegen sämtliche Benutzerkonten mit organisationsbezogenen Passwörtern durch, um Zugangsdaten zu erbeuten. Zudem gab es Versuche, Hintertür-Konten im Active Directory anzulegen. Ob gültige Zugangsdaten gefunden oder Backdoor-Konten tatsächlich erstellt wurden, ist offen; das volle Ausmaß der Kompromittierung bleibt damit unbestimmt.

„Da die USA, Japan, Taiwan und Südkorea die vier wichtigsten strategischen Gegner und Aufklärungsziele chinesischer staatsnaher Cyberoperationen im pazifischen Raum sind, deutet dies auf mögliche Aktivitäten eines staatlichen Akteurs hin", so Dream. Die Operation zeige, wie eine offenliegende Managementoberfläche zum Weg in die Identitätsinfrastruktur einer Organisation werden könne. Die 22 weiteren übernommenen Firewalls stünden weiterhin mit aktiven Webshells bereit, der dauerhafte Tunnel in die US-Regierungsorganisation laufe wahrscheinlich noch, und dem Angreifer blieben 19.000 erfasste Ziele, auf die er zurückkommen könne, während er Profile für weitere Betriebssystemversionen entwickelt.

Die PHP2Shell-Schwachstellen wurden bislang nur in begrenztem Umfang aktiv ausgenutzt. Angreifer selbst verweisen auf die Schwierigkeit, einen Proof-of-Concept in einen zuverlässigen Angriffsweg gegen reale Ziele zu überführen, obwohl sie die Lücken in ihre Kampagnen eingebaut haben. Ein Mitglied des XSS-Forums mit dem Handle c0d3x schrieb dazu: „In der Praxis ist das unausnutzbarer Mist. Um reale Ziele anzugreifen, braucht man die Offsets aus libphp.so, die für jeden Build einzigartig und nicht per Brute Force zu ermitteln sind. Man kann es auf dem eigenen Testsystem nachstellen – oder wenn man bereits Zugriff auf das Dateisystem des Ziels hat."