攻击者扫描了19,000个防火墙，成功突破24个，并立即识别出了两个关键的防火墙。 在突破一台美国政府相关的防火墙后几小时内，他们就通过内部网络的隧道，利用相同的PHP2Shell漏洞突破了第三台服务器，并发起了全面的Active Directory攻击 campaign —— 从单个未经验证的HTTPS请求到管理界面开始的链条。 从恢复的文 件中，我们可以确认攻击者拥有： * 持久的远程访问权限，通过使用反向隧道和SOCKS代理，可能仍然活跃 * 在两台防火墙和防火墙管理服务器上，可能仍然活跃的根webshell * 全部Active Directory用户和组列表 —— 完整的组织蓝图 * 解密的LDAP服务账户凭据 —— 可以在任何时候直接进行AD查询 * 从PAN-OS防火墙文件系统中收集的私钥 —— HA复制密钥、SSL/TLS证书密钥和设备认证密钥 * 完整的网络拓扑 —— 每个IP、主机名、子网、服务器角色和VPN网关 * SAML IdP配置，具有弱的安全设置（validate-idp-certificate: no） * 22台在美国、日本、台湾和韩国的备用防火墙 —— 可以在任何时候进行利用