PHP2Shell漏洞遭利用攻陷歐洲政府機構,疑有北韓駭客以AI輔助進行大規模全球掃描

背景與影響

資安廠商Palo Alto Networks Unit 42揭露,攻擊者利用PHP2Shell漏洞(CVE-2026-109618與CVE-2026-109619)入侵歐洲一政府機構,在初次入侵後短短兩小時內就成功取得密碼雜湊與多因素驗證(MFA)金鑰,並建立NTLM中繼通道試圖對Active Directory進行網域管理員權限提升。

研究人員觀察到攻擊者的操作指令與行為模式帶有明顯的AI代理人工具特徵,例如指令批次以特定分隔符號(如==SHELLUSER==、==PASSWD==)包裝,這種格式便於AI模型解析輸出結果,顯示攻擊可能部分由自動化AI代理人執行,涵蓋憑證竊取、網域控制器匿名LDAP查詢以及主機內部特權群組與互動使用者的偵察。

另一方面,資安公司CYFIRMA發現一個疑似與北韓Lazarus集團有關的活動,透過21個受駭節點對全球PHP基礎設施進行低調且節奏緩慢的掃描,鎖定美國、日本、南韓、台灣、印度、新加坡等多國共216台未修補或僅部分修補的主機,涵蓋政府、金融、物流、機場航空及線上交易平台等關鍵產業。

該掃描活動刻意採用低流量、節點輪替並於偵測到封鎖跡象時立即放棄的策略,使傳統的閾值式警報機制難以偵測,研究人員透過I2P封閉頻道中使用北韓文化語(Munhwaŏ)而非南韓標準用語的對話內容,以中等信心度將其歸因於北韓Lazarus集團生態系的操作者。

解決方案

• 立即盤點並修補所有受PHP2Shell漏洞(CVE-2026-109618、CVE-2026-109619)影響的系統
• 檢查Active Directory是否有異常的LDAP匿名查詢或NTLM中繼活動紀錄
• 強化密碼雜湊與MFA金鑰的儲存保護,避免單點外洩導致大規模帳號淪陷
• 部署異常行為偵測機制,留意具機器可解析格式特徵(如特定分隔符號)的指令批次
• 對於政府、金融、物流、機場航空等高風險產業,應假設自身已在攻擊者鎖定名單之中並提高警戒
• 避免僅依賴傳統閾值式警報,改採行為分析偵測低調、節點輪替式的長期掃描活動
• 定期檢視對外暴露的PHP服務與系統,減少不必要的攻擊面