Sysrv
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Sysrv es una botnet que explota activamente una vulnerabilidad PHP de nueve años de antigüedad. Utiliza peticiones POST sin autenticación para escanear masivamente instalaciones de Laravel, Drupal, Yii y WordPress. Su objetivo principal es entregar webshells y cargas de botnet aprovechando la exposición de directorios de vendor en entornos de producción.
Cómo llega
Entra explotando una vulnerabilidad PHP de nueve años de antigüedad mediante peticiones POST sin autenticación. Escanea masivamente rutas específicas de Laravel, Drupal, Yii y WordPress. Aprovecha la exposición de directorios de vendor en producción para desplegar sus cargas.
Qué hace una vez dentro
Permite a los atacantes ejecutar código PHP arbitrario mediante peticiones POST sin autenticación. Realiza escaneos masivos de infraestructura apuntando a decenas de rutas específicas de cada framework. Su función principal es la entrega de webshells y cargas de botnet en los sistemas comprometidos.
A quién ataca
Apunta a instalaciones de los frameworks Laravel, Drupal, Yii y WordPress. Se enfoca en entornos de producción donde los desarrolladores no excluyeron dependencias de desarrollo, dejando expuestos los directorios de vendor ante los servidores web.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
