Cybercriminelen proberen miljoenen systemen te infecteren via PHP2Shell-kwetsbaarheden om Mirai-botnet Potassium te verspreiden.
Onderzoekers hebben grootschalige pogingen waargenomen om de recent bekendgemaakte PHP2Shell-kwetsbaarheden te misbruiken. De aanvallers proberen hiermee geïnfecteerde systemen te rekruteren voor een Mirai-botnetvariant genaamd Potassium. Uit analyses blijkt dat het wapeniseren van deze kwetsbaarheden moeilijker is dan aanvankelijk werd aangenomen.
De aanvallen richten zich op CVE-2026-109618 en CVE-2026-109619, die een ongeauthenticeerde remote code execution (RCE) mogelijk maken via speciaal opgemaakte HTTP-verzoeken. Deze kwetsbaarheden zijn inmiddels gepatcht in PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Volgens Sophos betreft het een geüpdatete en sterk uitgebreide Mirai-afgeleide botnetvariant, die functionaliteiten bevat voor het downloaden van payloads en netwerkverstoring.
De malware lost een versleuteld command-and-control (C2) adres op, maakt verbinding met het IP-adres 134.199.154.64 via TCP en verstuurt een HTTP-verzoek. Bij een HTTP 200-respons controleert de malware of de payload begint met de ELF magic bytes, wat duidt op een Linux ELF-binary als vervolgpayload. De botnetvariant ondersteunt IPv4- en hostnaamresolutie, met fallback via publieke DNS-servers zoals 8.8.8.8 en 1.1.1.1. Net als eerdere Mirai-varianten kan deze malware DDoS-aanvallen uitvoeren.
De aanvallen zijn afkomstig van drie IP-adressen: 85.11.167.243, 217.60.242.76 en 45.198.224.169. Deze bronnen benaderen het IP 92.118.112.100 om een loader op te halen die de Mirai-variant activeert. Verdere analyse in een sandbox toont dat het botnet een DNS-query uitvoert voor thunder.godofthunder.st, dit vertaalt naar 134.199.154.64 en een C2-kanaal opent op TCP-poort 50792. Het doel is het uitvoeren van volumetrische flood-aanvallen op twee aangrenzende hosts binnen een Oekraïens netwerk (45.88.138.0 en 45.88.138.44).
Het ontbreken van succesvolle exploits in het wild wijst erop dat aanvallers moeite hebben met het ontwikkelen van betrouwbare exploits voor PHP2Shell, aldus Sophos. Potassium werd voor het eerst gesignaleerd door botnet-trackingplatform Synthient in maart 2026. Onderzoekers van Nokia Deepfield beschrijven de malware als een Mirai-fork met unieke kenmerken zoals het gebruik van ChaCha20 voor configuratietabellen en een DNS-misdirection-schema waarbij 16-bits helften van A-records worden verwisseld.
Volgens Arctic Wolf ondersteunt het botnet 24 commando’s voor flood-aanvallen via ICMP, TCP, UDP en OpenVPN. Zowel ARM- als x86-versies bevatten configuraties voor het resolven van C2-infrastructuur via Ethereum Name Service (ENS), hoewel deze functionaliteit momenteel is uitgeschakeld. Indien geactiveerd kan dit het verstoren van het botnet bemoeilijken doordat het minder afhankelijk wordt van traditionele DNS- en registrar-infrastructuur.
Daarnaast meldde SOCRadar dat exploit-tools voor PHP2Shell op een door aanvallers beheerde server zijn gevonden, inclusief scripts die live websites screenen op kwetsbaarheden die nodig zijn voor de exploitatieketen. Dit duidt op een georganiseerde voorbereiding voor grootschalige aanvallen met deze kwetsbaarheden.
