یک گروه تهدید پیشرفته (Threat Actor) چینی‌زبان با بهره‌برداری از نقاط ضعف امنیتی در سوئیچ‌های مدیریت‌پذیر Zyxel GS1900 و سیستم مدیریت محتوای WordPress، موفق به سرقت داده‌های حساس از ۹۹۶ دستگاه و بیش از ۱۸,۵۰۰ رکورد از پایگاه‌های داده Backend شده است.
جزئیات عملیات و اهداف
این مهاجمان طی یک کمپین گسترده، فناوری‌های متعددی از جمله PAN-OS Global Protect، FlowiseAI، Nuclio، Proxmox و Ubiquity را هدف قرار داده‌اند. طبق گزارش شرکت GreyNoise، این فعالیت‌ها که از اوایل ژوئن ۲۰۲۶ شناسایی شده‌اند، به گروه Red Heron مرتبط است؛ گروهی که پیش‌تر سابقه بهره‌برداری از نقص‌های بحرانی در سرویس Gitea را داشته است.
بهره‌برداری از WordPress و نفوذ به سازمان‌های دولتی
مهاجمان با استفاده از آسیب‌پذیری‌های wp2shell (شناخته شده با کدهای CVE-2026-63030 و CVE-2026-60137) در هسته WordPress، به حداقل ۴۹ سازمان در ۲۹ کشور نفوذ کرده‌اند. در یکی از برجسته‌ترین موارد، یک سازمان دولتی غربی هدف قرار گرفت که در آن مهاجم پس از نفوذ، عملیات شناسایی گسترده‌ای روی سیستم‌های Windows انجام داد.
- بررسی وضعیت Microsoft Defender و AMSI
- تلاش برای دور زدن AMSI با استفاده از ۱۷ اسکریپت مختلف
- تلاش برای ارتقای سطح دسترسی (Privilege Escalation) از طریق Token Impersonation
- استخراج داده‌های Registry و ایجاد حساب Administrator محلی
در نهایت، مهاجمان با یافتن اعتبارنامه‌های پایگاه داده SQL، از طریق حمله Password-spraying به سرور داخلی نفوذ کرده و ۱۸,۵۶۶ رکورد شامل نام‌های کاربری، رمزهای عبور به صورت Plaintext و اطلاعات شناسایی شخصی (PII) مربوط به سازمان‌های دولتی و انتظامی را سرقت کردند.
حملات به زیرساخت‌های شبکه و تجهیزات Zyxel
در تاریخ ۱۷ آگوست، این گروه بهره‌برداری از یک آسیب‌پذیری با شدت بالا (CVE-2026-7273) در سوئیچ‌های Zyxel GS1900 را آغاز کرد که منجر به compromet شدن ۹۹۶ دستگاه در ۴۸ کشور شد. هدف از این حمله، استخراج پیکربندی‌های دستگاه (Configurations)، اطلاعات شبکه و هش‌های رمز عبور سطح Root بود.
سایر اهداف و زنجیره حملات
علاوه بر موارد فوق، این هکرها تلاش کردند تا با زنجیر کردن (Chaining) آسیب‌پذیری‌های Ubiquiti UniFi OS (شامل CVE-2026-34908، CVE-2026-34909 و CVE-2026-34910) به قابلیت اجرای کد از راه دور (RCE) در سطح Root دست یابند. همچنین شواهدی از هدف قرار دادن موارد زیر مشاهده شده است:
- آسیب‌پذیری Dirty Pipe در هسته لینوکس (CVE-2022-0847)
- سرویس‌های Gitea، Nuclio و Proxmox VE
- سرویس FlowiseAI (CVE-2026-56271)
کارشناسان تأکید می‌کنند که تمامی این آسیب‌پذیری‌ها هنوز در کاتالوگ KEV سازمان CISA ثبت نشده‌اند، اما نشانگرهای آلودگی (IoCs) مربوط به Backdoorها و زیرساخت‌های فرمان و کنترل (C2) این گروه شناسایی و منتشر شده است.
