چک کردن دروازه های پوینت از طریق PHP2Shell برای استقرار پاک کن VMware ESXi

نمونه‌های آسیب‌پذیر Check Point Security Gateway در حملات PHP2Shell که بدافزار پاک‌کننده داده را بر روی میزبان‌های VMware ESXi مستقر می‌کردند، هدف قرار گرفته‌اند.

این حملات در 30 اکتبر، ابتدا علیه سازمان‌های اسرائیلی آغاز شد و توسط بازیگری انجام شد که کل کمپین، از دسترسی اولیه به حرکت جانبی و راه‌اندازی پوسته‌های PHP را بر عهده داشت.

در برخی موارد، محققان پیام‌های سیاسی را در مرحله مخرب یافتند که سؤالاتی را در مورد عملیات احتمالی پرچم دروغین ایجاد می‌کرد.

PHP2Shell نام دو نقص حیاتی PHP است که به‌عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند و امکان اجرای کد از راه دور غیرقابل احراز هویت را در سیستم‌های آسیب‌پذیر می‌دهند.

PHP آسیب‌پذیری‌ها را در وصله‌های اضطراری در 21 اکتبر برطرف کرد. با این حال، طبق اطلاعات آمازون Threat Intelligence، تلاش‌های بهره‌برداری از چهار روز زودتر آغاز شد.

CISA در 26 اکتبر هر دو مشکل را به کاتالوگ آسیب پذیری های مورد سوء استفاده شناخته شده (KEV) خود اضافه کرد و بعدا هشدار داد که مهاجمان باگ های PHP2Shell را با نقص هسته لینوکس Fragnesia برای به دست آوردن امتیازات روت زنجیره می کنند.

شرکت امنیت سایبری Check Point می‌گوید که اولین موج بهره‌برداری سازمان‌های اسرائیلی را هدف قرار داده است، در حالی که موج دوم در 2 نوامبر شرکت‌ها را در چندین کشور و بخش تحت تأثیر قرار داده است.

مهاجم از PHP2Shell برای دسترسی از طریق پورتال دسترسی به موبایل درگاه‌ها استفاده کرد، سپس از یک آسیب‌پذیری روز صفر جدید که به‌عنوان CVE-2026-123039 ردیابی شده بود، برای به دست آوردن امتیازات روت سوء استفاده کرد.

سپس آنها از امتیازات نصب پوسته های وب PHP و درپشتی TSGA سوء ​​استفاده کردند، که یک جزء شبکه به نام TSProxy را برای گوش دادن به دستورات مهاجم پنهان در ترافیک معمولی تعبیه می کند.

در حملاتی که سازمان‌های اسرائیلی را هدف قرار می‌دهند، عوامل تهدید از دروازه به میزبان‌های VMware ESXi که با استفاده از اسکنر gogo، یک ابزار شناسایی شبکه منبع باز، قرار دارند، منتقل شدند.

در آخرین مرحله حمله، عامل تهدید یک پاک کننده داده به نام kill_v6 را مستقر کرد که به صورت بازگشتی داده ها را در فهرست هدف حذف می کند.

برف پاک کن ابتدا یک پر کردن صفر را امتحان می کند تا بازیابی را سخت تر کند. همچنین از یک حالت سریع پشتیبانی می کند که مرحله رونویسی را نادیده می گیرد.

Check Point همچنین متوجه شد که مهاجم یادداشتی به نام DREAM_ANNEXATION.txt در میزبان ESXi گذاشته است که به "Dream Security Ltd." اشاره می کند.

این یادداشت حاوی پیام‌های سیاسی است و به صراحت مذاکرات پرداخت باج را رد می‌کند، که نشان می‌دهد تنها هدف مهاجمان ایجاد آسیب و اختلال است.

Check Point به طور آزمایشی TSGA و TSProxy را به PhiliKit پیوند داد، یک چارچوب بدافزار که قبلا در حملات به دستگاه‌های Ivanti دیده شده بود و ESET آن را با خوشه تهدید چینی UNC5221 مرتبط می‌کرد.

با این حال، بر اساس شواهد موجود، نمی توان با اطمینان این حملات را نسبت داد.

به گفته محققان، موج دوم شامل فعالیت های مخرب نمی شد، اما اقدامات بعدی که بازیگران تهدید انجام دادند نامشخص است.

چک پوینت به مشتریان توصیه می‌کند که Jumbo Hotfix نوامبر را روی همه سرورهای مدیریتی و دروازه‌های امنیتی نصب کنند و آن‌هایی را که دارای پورتال‌های دسترسی به موبایل هستند، در اولویت قرار دهند.

به روز رسانی هر دو PHP2Shell و نقص افزایش امتیاز DynamicCLI مورد استفاده در حملات را برطرف می کند.

مدیران همچنین باید نشانه‌هایی از سازش در دروازه‌های قبلا در معرض دید را بررسی کنند، از جمله فایل‌های جلسه حاوی upload_progress_pwn، فرآیندهای غیرمنتظره CPconfigdaemon یا باینری‌ها، و شکاف‌های غیرقابل توضیح در گزارش‌های فایروال.

فعالیت غیرمجاز SSH از دروازه به میزبان های داخلی VMware ESXi نیز نشانه واضحی از نقض است.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

Check Point در مورد سوء استفاده هکرها از نقص امنیتی VPN RCE هشدار می دهد

Check Point درباره نقص روز صفر که برای دسترسی ریشه مورد سوء استفاده قرار گرفته است هشدار می دهد

شرکت روسی ابری Beget پس از حمله پاک‌کن داده‌ها، از ابتدا بازسازی می‌کند

CISA در مورد نقص لینوکس Fragnesia که در حملات PHP2Shell زنجیره ای وجود دارد، هشدار می دهد

حتی بعد از PHP2Shell، شعاع انفجار بیشتر از امتیاز CVSS اهمیت دارد