گزارش‌های اخیر شرکت امنیتی Dream نشان می‌دهد که یک عامل تهدید (Threat Actor) مرتبط با چین، با بهره‌برداری از آسیب‌پذیری‌های PHP2Shell، موفق شده است به دسترسی Root در فایروال‌ها دست یابد و برای حفظ دسترسی مستمر، Webshellهای مختلفی را مستقر کند.
جزئیات زنجیره حمله (Exploit Chain)
مهاجمان در این عملیات، دو نقص امنیتی در PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 را با یک آسیب‌پذیری دیگر به نام Fragnesia ترکیب کرده‌اند. Fragnesia یک باگ افزایش سطح دسترسی (Privilege Escalation) در هسته لینوکس (Linux Kernel) است که با شناسه CVE-2026-46300 ردیابی می‌شود.
مراحل شناسایی و هدف‌گیری
- جستجوی دارایی‌ها: مهاجمان ابتدا از موتور جستجوی FOFA برای شناسایی ۱۹,۰۰۰ فایروال متصل به اینترنت از یک سازنده خاص استفاده کردند.
- فیلتر کردن اهداف: در مرحله بعد، سرورهای مستقر در ایالات متحده، ژاپن، تایوان و کره جنوبی که از نسخه‌های جدیدتر PHP استفاده می‌کردند، فیلتر شدند و لیستی از ۲۴۰ هدف احتمالی استخراج شد.
- اجرای حمله: با استفاده از یک ابزار خودکار، زنجیره اکسپلویت PHP2Shell-Fragnesia روی این اهداف اجرا شد که منجر به استقرار PHP root webshell روی ۲۴ دستگاه گردید.
نفوذ عمیق و حرکت عرضی (Lateral Movement)
در حالی که در اکثر موارد فعالیت پس از نفوذ مشاهده نشد، اما در دو سرور متعلق به یک محیط وابسته به دولت ایالات متحده، حمله پیشرفت کرد. مهاجمان برای حفظ دسترسی، یک تونل SSH معکوس (Reverse SSH Tunnel) ایجاد کردند و از طریق آن به سرور مدیریت داخلی فایروال‌ها حمله کردند.
با تسخیر سرور مدیریت، مهاجمان به موارد زیر دست یافتند:
- دسترسی به تنظیمات، اعتبارنامه‌ها (Credentials) و پیکربندی تمامی فایروال‌های تحت مدیریت سازمان.
- رمزگشایی رمز عبور حساب سرویس LDAP.
- شناسایی کاربران و گروه‌ها در Domain.
- اجرای حملات Password Spraying و تلاش برای ایجاد حساب‌های Backdoor در Active Directory.
تحلیل و انتساب
اگرچه این فعالیت به گروه خاصی نسبت داده نشده است، اما تحلیلگران معتقدند این عملیات توسط یک گروه با پیوند چینی (Chinese-nexus) هدایت شده است؛ چرا که اهداف استراتژیک در منطقه پاسیفیک (ایالات متحده، ژاپن، تایوان و کره جنوبی) کاملاً با اولویت‌های جاسوسی سایبری دولت چین همخوانی دارد.
