Especialista britânico ganha US$ 2 mil em Bitcoin com ataque a servidor
Destaques
- •Desenvolvedor Jaydip Modhwadia venceu desafio de segurança 'Steal My Bitcoin' em 3 horas.
- •O ataque explorou a falha 'PHP2Shell' em um servidor configurado para teste.
- •Parte do prêmio em Bitcoin foi doada para pesquisa sobre lúpus.
O especialista em testes de segurança britânico Jaydip Modhwadia, conhecido como “Killa”, faturou US$ 2 mil em Bitcoin (aproximadamente R$ 10.900) ao demonstrar um ataque bem-sucedido em um sistema utilizando o exploit “PHP2Shell”. O feito ocorreu durante o desafio de captura de bandeira (CTF) “Steal My Bitcoin”, criado pelo pesquisador James Pavur, que visava testar a facilidade de invadir um servidor com essa vulnerabilidade.
A competição, que teve início no sábado (24), enfrentou atrasos iniciais devido a problemas de infraestrutura. Usuários e pesquisadores notaram que a página do desafio, inicialmente servida em HTML estático, não permitia a execução de códigos PHP, essencial para o método “PHP2Shell”. O criador da competição precisou alterar o site no domingo (25) para incluir arquivos PHP, viabilizando o ataque.
O ataque e a premiação
Após a correção, Modhwadia levou cerca de três horas para desenvolver um programa que burlasse a segurança do servidor e assumisse seu controle. A invasão foi confirmada às 12h47 (horário de Brasília). O desenvolvedor disponibilizou o passo a passo da solução em um repositório no GitHub. A entrega do prêmio exigiu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital. Inicialmente, a recompensa era de US$ 500, mas foi elevada para US$ 2 mil pela comunidade de segurança cibernética.
Impacto e próximos passos
Especialistas alertam que, apesar do sucesso de Modhwadia, o feito não indica que ataques em massa automatizados por IA sejam iminentes. Alon Gal, cofundador da Hudson Rock, explicou que o exploit foi sofisticado e específico para o alvo, mas demonstrou que o “PHP2Shell” pode ser usado contra alvos reais, mesmo com restrições técnicas. Spencer McIntyre, da VulnCheck, reforçou que criminosos dedicam esforços contínuos para criar novas abordagens de ataque baseadas nessa falha.
Em uma demonstração de solidariedade, Jaydip Modhwadia decidiu repassar parte da quantia recebida para a Lupus Foundation, organização que apoia pacientes com lúpus. O desenvolvedor, que possui a condição autoimune, busca incentivar pesquisas sobre a doença com a doação.
