Gli operatori Mirai Botnet si uniscono agli attacchi PHP2Shell mentre emergono

La botnet Mirai legata ai tentativi di sfruttamento Sophos afferma che gli attori delle minacce hanno cercato di sfruttare PHP2Shell per installare Potassium, che ritiene sia una variante della botnet Mirai. Il tentativo analizzato è stato interrotto, quindi il malware non ha mai raggiunto il sistema preso di mira. Sophos descrive il campione come una build aggiornata, con più funzionalità, di un ceppo derivato da Mirai identificato per la prima volta all’inizio del 2026.

Può scaricare malware aggiuntivi e lanciare attacchi DDoS

. L’ultima analisi di Sophos ha corretto un precedente aggiornamento della società che ha segnalato uno sfruttamento di successo. Arctic Wolf ha collegato due binari di potassio ai server che ospitano i payload PHP2Shell. Tuttavia, ha affermato che i suoi dati non mostrano le richieste PHP2Shell che recuperano o eseguono il malware

Hunt. io ha attribuito il traffico PHP2Shell osservato a una botnet consolidata in stile Mirai, attiva almeno dal maggio 2026, che ha recentemente aggiunto le falle ai metodi che utilizza per diffondersi. Sophos ritiene che gli aggressori stiano avendo difficoltà con gli insetti. «La mancanza di exploit di successo in natura suggerisce che anche gli attori delle minacce stanno lottando», ha affermato.

Il proprio team di ricerca avversario ha scoperto che costruire un exploit funzionante è difficile, anche con l’aiuto dell’IA

. Tentativi, ma nessuna violazione confermata Altre aziende dipingono un quadro simile. Hunt.io afferma di aver visto tentativi di sfruttamento e aggressori che preparavano strumenti, ma nessun compromesso confermato e nessun fornitore ne ha segnalato uno. Wordfence dice anche che gli attacchi continuano senza compromessi noti. Sansec, che aveva previsto lo sfruttamento di massa entro 15 minuti dal rilascio della patch, ha rivisto questa visione

. In un aggiornamento del 22 ottobre, ha affermato che gli aggressori hanno bisogno di una conoscenza dettagliata di un server e di condizioni particolari su di esso per avere successo e che gli exploit disponibili pubblicamente falliscono contro le installazioni PHP con impostazioni predefinite. L’exploit sconfigge l’ASLR nei setup di produzione