KashmirBlack
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
KashmirBlack es una botnet que explota activamente una vulnerabilidad PHP de nueve años de antigüedad. Opera desde infraestructura comprometida en el Reino Unido y Estados Unidos. La evidencia no especifica un grupo actor concreto, solo su presencia en el ecosistema de explotación masiva.
Cómo llega
Explota una vulnerabilidad PHP que permite ejecutar código arbitrario vía POST sin autenticación. La evidencia no menciona señuelos específicos, solo el escaneo masivo de rutas de frameworks. No se detallan vectores de entrada adicionales más allá de la explotación directa de la falla en versiones antiguas del lenguaje.
Qué hace una vez dentro
Realiza escaneo masivo buscando rutas específicas de los frameworks mencionados. Ejecuta código PHP arbitrario mediante solicitudes POST sin autenticación. Entrega webshells y cargas de botnet en los sistemas comprometidos. Se aprovecha de la exposición de directorios de proveedores a los servidores web.
A quién ataca
Apunta a instalaciones web que utilizan los frameworks Laravel, Drupal, Yii y WordPress. El ataque se centra en servidores expuestos que no excluyen dependencias de desarrollo en producción. La infraestructura de origen del escaneo masivo se ubica principalmente en el Reino Unido y Estados Unidos.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
