Um especialista em testes de segurança britânico ganhou um prêmio de US$ 2 mil em Bitcoin (cerca de R$ 10.900) após demonstrar um ataque em um sistema com o exploit “PHP2Shell”. O desafio de captura de bandeira (CTF, na sigla em inglês) foi apelidado de “Steal My Bitcoin” e criado pelo pesquisador James Pavur neste sábado (24). A competição buscava testar a facilidade real de invadir um servidor com essa falha, segundo informações do portal The Register.
Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido “Killa”, superou as barreiras de proteção e assumiu o controle do servidor de testes. O site oficial do evento marcava que a invasão ocorreu em 19 horas, porém a oscilação da página pelo excesso de acessos atrasou as tentativas. Contudo, ele confirmou, ao veículo especializado, que o processo de invasão levou cerca de três horas.
Falhas de configuração no servidor
No início do teste, o pesquisador do canal LiveOverflow e usuários do fórum Hacker News notaram um problema no site do desafio. A página, servida em HTML estático, não possibilitava utilizar o método ‘PHP2Shell’. Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competição precisou alterá-lo no domingo (25).
Depois da mudança, Modhwadia conseguiu invadir o sistema às 12h47 (horário de Brasília). O desenvolvedor criou um programa para burlar a segurança do servidor e disponibilizou o passo a passo da solução em repositório no GitHub.
A entrega do prêmio envolveu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital. Depois da correção, a comunidade de segurança cibernética adicionou recursos e elevou a recompensa inicial de US$ 500 para US$ 2 mil.
Impactos reais e mitigação em escala
Apesar do sucesso de Jaydip Modhwadia na competição, especialistas alertam que o feito não significa que qualquer invasor consiga automatizar ataques em massa imediatamente. O cofundador e diretor de tecnologia da empresa de cibersegurança Hudson Rock, Alon Gal, analisou o caso:
“Isso significa que agentes autônomos de IA agora podem comprometer servidores PHP arbitrários em escala? Não. Esse foi um exploit sofisticado e específico para o alvo. Mas demonstra que o PHP2Shell pode ser usado como arma contra um alvo real, mesmo com restrições técnicas significativas”, ponderou o executivo, ao The Register.
A demonstração do especialista britânico reforça avaliações do setor de segurança digital. O diretor de desenvolvimento da empresa VulnCheck, Spencer McIntyre, declarou ao mesmo veículo que criminosos dedicam tempo contínuo para criar novas abordagens de ataque baseadas no PHP2Shell.
Em publicação no X (antigo Twitter), o criador de conteúdo e pesquisador de segurança do canal LiveOverflow relatou ter acompanhado as etapas da competição e notado a ausência inicial de arquivos PHP no servidor de testes. A constatação confirmou que o atraso na resolução do desafio ocorreu por problemas na infraestrutura da página e não por inviabilidade do ataque.
Após receber o valor em criptomoeda, Modhwadia repassou parte da quantia para a Lupus Foundation, organização de apoio a pacientes com lúpus. O desenvolvedor confirmou, ao The Register, que possui a condição autoimune e decidiu destinar os recursos para incentivar pesquisas sobre o tema.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
