Androxgh0st
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Androxgh0st es una botnet que explota activamente una vulnerabilidad PHP de nueve años de antigüedad. Se distribuye mediante escaneos masivos en infraestructuras comprometidas en el Reino Unido y Estados Unidos. Entrega webshells y cargas de botnet en instalaciones de Laravel, Drupal, Yii y WordPress. La evidencia no especifica quién la usa.
Cómo llega
Entra mediante escaneos masivos que aprovechan una vulnerabilidad PHP de nueve años. Explota la ejecución de código PHP arbitrario vía POST sin autenticación. Se distribuye desde infraestructuras comprometidas en el Reino Unido y Estados Unidos. No hay evidencia de señuelos específicos.
Qué hace una vez dentro
Ejecuta código PHP arbitrario mediante solicitudes POST sin autenticación. Realiza escaneos masivos en rutas específicas de los frameworks mencionados. Entrega webshells y cargas de botnet en los sistemas comprometidos. La explotación persiste por la exposición de directorios de vendor en servidores web.
A quién ataca
Apunta a infraestructuras comprometidas en el Reino Unido y Estados Unidos. Se enfoca en instalaciones de los frameworks Laravel, Drupal, Yii y WordPress. No hay evidencia de otros sectores o regiones específicas.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
