Desenvolvedor demonstra ataque com PHP2Shell e conquista vitória sobre desafio de R$ 10 mil em Bitcoin

Um especialista em testes de segurança britânico ganhou um prêmio de US$ 2 mil em Bitcoin (cerca de R$10.900) após demonstrar um ataque em um sistema com o exploit “PHP2Shell”. O desafio de captura de bandeira (CTF, na sigla em inglês) foi apelidado de “Steal My Bitcoin” e criado pelo pesquisador James Pavur neste sábado (24). A competição buscava testar a facilidade real de invadir um servidor com essa falha, segundo informações do portal The Register.

Aos 26 anos, o desenvolvedor Jaydip Modhwadia, conhecido pelo apelido “Killa”, superou as barreiras de proteção e assumiu o controle do servidor de testes. O site oficial do evento havia marcado que a invasão ocorreu em 19 horas, porém a oscilação da página pelo excesso de acesso atrasou as tentativas. Contudo, ele confirmou, ao veículo especializado, que o processo de invasão levou cerca de três horas.

No início do teste, o pesquisador do canal LiveOverflow e usuários do fórum Hacker News notaram um problema no site do desafio. A página, servida em HTML estático, não possibilitava utilizar o método “PHP2Shell”. Como o ataque depende de um website capaz de servir arquivos PHP para funcionar, o criador da competição precisou alterá-lo no domingo (25).

Depois da mudança, Modhwadia conseguiu invadir o sistema às 12h47 (horário de Brasília). O desenvolvedor criou um programa para burlar a segurança do servidor e disponibilizou passo a passo da solução em repositório no GitHub.

A entrega do prêmio envolveu um ajuste manual por parte do organizador devido a um erro no envio da chave da carteira digital. Depois da correção, a comunidade de segurança cibernética adicionou recursos e elevou a recompensa inicial de US$ 500 para US$ 2 mil.

Apesar do sucesso de Jaydip Modhwadia na competição, especialistas alertam que o feito não significa que qualquer invasor consiga automatizar ataques em massa imediatamente. O cofundador e diretor de tecnologia da empresa de cibersegurança Hudson Rock, Alon Gal, analisou o caso:

“Isso significa que agentes autônomo de IA agora podem comprometer servidores PHP arbitrários em escala? Não. Esse foi um split sofisticado específico para o alvo, mas demonstra que o PHP2Shell pode ser usado como arma contra um alvo real, mesmo com restrições técnicas significativas”, ponderou o executivo, ao The Register.

A demonstração do especialista britânico reforça avaliações do setor de segurança digital. O diretor de desenvolvimento da empresa VulnCheck, Spencer McIntyre, declarou que criminosos dedicam tempo contínuo para criar novas abordagens de ataque baseadas no PHP2Shell.

Em publicação no X (antigo Twitter ), o pesquisador de segurança do canal LiveOverflow relatou ter acompanhado as etapas da competição e notado a ausência inicial de arquivos PHP no servidor de testes. A constatação confirmou que o atraso na resolução do desafio ocorreu por problemas na infraestrutura da página e não por inviabilidade do ataque.

Após receber o valor em criptomoeda, Modhwadia repassou parte da quantia para a Lupus Foundation, organização de apoio a pacientes com lúpus. O desenvolvedor confirmou, ao The Register, que possui a condição autoimune e decidiu destinar os recursos para incentivar pesquisas sobre o tema.

Siga o TecMundo no X,, e YouTube e assine a para receber as principais notícias e análises diretamente no seu e-mail.

Mais lidas 1. Vivo Satélite: como verificar a compatibilidade do celular e usar a internet da Starlink?

Reiteramos nosso compromisso em indicar apenas produtos e promoções curados e selecionados pelos nossos especialistas, sempre levando em consideração a experiência dos nossos leitores.

Sempre verifique códigos e descontos. Lojas e marcas podem alterar ou encerrar ofertas a qualquer momento.