« Steal My Bitcoin »: un pentester gana 2,000 dólares en BTC al explotar PHP2Shell

<< La seguridad es un proceso, no un producto. >> (Bruce Schneier, Secrets and Lies, 2000)

Una caja fuerte con la puerta abierta, a propósito. El sábado 24 de octubre, el investigador de seguridad James Pavur puso en línea un servidor deliberadamente vulnerable a las fallas de PHP2Shell con una billetera de bitcoin dentro y una consigna que decía en tres palabras, roba mi bitcoin. Diecinueve horas después, un pentester de 26 años radicado en el Reino Unido se marchaba con las llaves.

La comunidad hizo subir la recompensa de 500 a 2,000 dólares en un fin de semana y el ganador donó una parte a una asociación de pacientes con lupus. El proceso, tan caro para Schneier, tomó aquí tres horas de trabajo efectivo.

Puntos clave

• Un sitio de desafío lanzado el 24 de octubre expuso un servidor PHP no corregido y una recompensa en BTC
• Jaydip Modhwadia, alias Killa, tomó el control de la máquina el 25 de octubre a las 15:47 UTC
• Su carga se encuentra en un script de Python y menos de veinte solicitudes web
• La bolsa pasó de 500 a 2,000 dólares gracias a las donaciones de la comunidad
• CISA incluyó las dos vulnerabilidades en su catálogo de vulnerabilidades explotadas el 26 de octubre

Steal My Bitcoin o el bug bounty reducido a una billetera

El principio de un bug bounty clásico pasa por una plataforma, un formulario y un comité que juzga la gravedad antes de pagar. Pavur eliminó todo eso. Un servidor, una falla conocida, una dirección de bitcoin: el primero que ejecute código en la máquina se sirve a sí mismo. El pago es la prueba, y la blockchain actúa como acta.

La mecánica ha seducido. Según The Register, la apuesta inicial de 500 dólares fue cuadruplicada por la comunidad, alcanzando 2,000 dólares, es decir, aproximadamente 0.025 bitcoin al precio de este miércoles 28 de octubre alrededor de 80,500 dólares.

El ganador se llama Jaydip Modhwadia, desarrollador y pentester radicado en el Reino Unido, conocido por el seudónimo Killa. El contador del sitio muestra << Mi bitcoin fue robado después de 19.28 horas >>, pero el interesado relativiza: trabajó << aproximadamente tres horas en total >>. Pavur había agregado un punto de entrada PHP que la explotación necesitaba alrededor de las 13:00 UTC del 25 de octubre, y la ejecución de código remoto ocurrió a las 15:47 UTC.

Su carga útil se encuentra en un único archivo Python y << un máximo de veinte solicitudes HTTP >>. El script elude sobre todo el ASLR, la protección que mezcla aleatoriamente las direcciones de memoria de un programa para complicar la vida de los atacantes. El código es público en GitHub.

Modhwadia anunció que donaría una parte de la ganancia a la Lupus Foundation, que lucha contra el lupus, una enfermedad autoinmune de la que él mismo padece. En 2021, el hacker de Poly Network había puesto en juego su recompensa de 500,000 dólares después de haber devuelto 610 millones, para quien hiciera mejor que él.

PHP2Shell amenaza aún a 32 millones de servidores

Las dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, afectan a todas las versiones de PHP desde la 5.4, es decir, el motor de una buena parte de la web mundial. Según Brian Krebs, Censys registraba 2.58 millones de hosts expuestos y 54.9 millones de propiedades web bajo PHP en el momento de los parches de emergencia del 21 de octubre.

Los parches existen: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Pero Censys, citado por The Hacker News, contaba aún con 32.51 millones de servicios PHP en una versión vulnerable. CISA agregó las dos CVE a su catálogo de fallas activamente explotadas el lunes 26 de octubre, con una nota de gravedad de 9.2 sobre 10, y dio a las agencias federales estadounidenses hasta el 29 de octubre para corregir. La primera ejecución de código en la naturaleza fue atrapada en trampas de miel el 24 de octubre, el mismo día del lanzamiento de Steal My Bitcoin.

Su exchange probablemente no funcione bajo PHP, y varias plataformas se apresuraron a decirlo después de la alerta lanzada por Changpeng Zhao. Pero el blog que le recomienda una billetera y el foro donde lee consejos funcionan muy a menudo bajo WordPress, por lo tanto, bajo PHP. Un servidor comprometido puede servir una falsa página de inicio de sesión o reemplazar una dirección de depósito sin que nada cambie en la pantalla.

Si usted administra un sitio, la actualización toma menos tiempo de lo que Modhwadia tardó en entrar. Si solo lo visita, tenga cuidado con los sitios que han estado en << mantenimiento >> durante una semana y verifique cualquier dirección de depósito en una segunda fuente. En Francia, la ANSSI había hecho cortar prefecturas, impuestos y Bercy mientras se corregía, y una falla conexa llamada Broccoli2Shell recibió su parche para Windows el 26 de octubre.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.