گزارش‌های جدید نشان می‌دهد که عوامل تهدید (Threat Actors) از آسیب‌پذیری‌های PHP2Shell برای نفوذ به تجهیزات Check Point Gateway و استقرار یک بدافزار پاک‌کننده (Wiper) در سازمان‌های هدف استفاده کرده‌اند.
جزئیات فنی و زنجیره حمله
این حملات در دو موج متوالی صورت گرفته است. موج اول در ۳۰ اکتبر با هدف قرار دادن سازمان‌هایی در رژیم صیهونیستی آغاز شد و ماهیت تخریبی داشت. موج دوم از ۲ نوامبر شروع شد و سازمان‌هایی را در کشورهای مختلف هدف قرار داد، هرچند در این مرحله فعالیت تخریبی مشاهده نشد.
آسیب‌پذیری PHP2Shell که با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شود، شامل دو نقص امنیتی بحرانی است که منجر به اجرای کد از راه دور (RCE) در تمامی نسخه‌های PHP از نسخه ۵ به بعد می‌شود. اگرچه پَچ‌های مربوطه در ۲۱ اکتبر منتشر شدند، اما بهره‌برداری از این نقص‌ها پیش از انتشار پَچ‌ها آغاز شده بود.
در این عملیات، مهاجمان از زنجیره حملات زیر استفاده کردند:
- دسترسی اولیه: بهره‌برداری از PHP2Shell برای ورود به سیستم.
- ارتقای سطح دسترسی: استفاده از آسیب‌پذیری CVE-2026-123039 (یک نقص Local Privilege Escalation در پردازش DynamicCLI) برای دستیابی به دسترسی root.
- تثبیت جایگاه: استقرار وب‌شل‌های PHP (Webshells) در دایرکتوری‌های مربوط به پورتال Mobile Access برای ارسال دستورات و حفظ دسترسی.
- استقرار بدافزار: استفاده از نسخه‌های تغییریافته‌ای از فریم‌ورک PhiliKit (شامل TSGA و TSProxy) برای ایجاد Backdoor و رهگیری توابع شبکه.
تخریب زیرساخت و تحلیل عامل تهدید
پس از نفوذ و شناسایی دارایی‌های داخلی، مهاجمان به صورت عرضی (Lateral Movement) به میزبان‌های VMware ESXi منتقل شده و در آنجا یک Wiper را اجرا کردند تا داده‌ها را به‌طور کامل پاک کند.
تحلیل‌ها نشان می‌دهد که ساعات فعالیت مهاجمان با ساعات کاری معمول در چین مطابقت دارد و از زیرساخت‌ها و بدافزارهایی استفاده کرده‌اند که پیش‌تر با گروه‌های چینی (مانند UNC5221) مرتبط بوده‌اند. با این حال، استفاده از بدافزار Wiper و ماهیت تخریبی حمله با الگوهای شناخته‌شده عملیات سایبری چین همخوانی ندارد. این موضوع احتمال وجود یک عملیات «پرچم دروغین» (False-flag) یا استفاده از فعالیت‌های تخریبی به عنوان یک پوشش (Smoke screen) را تقویت می‌کند.
