نفوذ از درگاه‌های آسیب‌پذیر
گروهی ناشناس با سوءاستفاده از آسیب‌پذیری‌های PHP2Shell به درگاه‌های امنیتی وصله‌نشده Check Point نفوذ کرده و سپس بدافزاری به نام TSGA را نصب کرده است. این عملیات که از ۳۰ اکتبر ۲۰۲۶ شناسایی شد، ابتدا سازمان‌هایی در اسرائیل را هدف گرفت. موجی دیگر در ۲ نوامبر، سازمان‌هایی در چند کشور و بخش مختلف را دربر گرفت. برخی از قربانیان موج نخست بعداً با حمله‌ای مخرب‌تر روبه‌رو شدند که در آن فایل‌های میزبان‌های VMware ESXi پاک شد. این جزئیات بر اساس گزارش Check Point است که Hacker News آن را بازتاب داده است.
مهاجمان پس از دسترسی اولیه، از آسیب‌پذیری محلی CVE-۲۰۲۶-۱۲۳۰۳۹ در سیستم‌عامل Gaia برای افزایش سطح دسترسی استفاده کردند. این نقص در رابط DynamicCLI می‌تواند به یک کاربر محلیِ احراز هویت‌شده اجازه دهد دستورهای دلخواه را با دسترسی ریشه اجرا کند. بنابراین، بهره‌برداری از آن به دسترسی قبلی به دستگاه نیاز دارد. Check Point گفته است که استفاده فعال از این آسیب‌پذیری را نزد چند ده مشتری مشاهده کرده است.
این مشکل نسخه‌های مختلف R81 تا R82.۲۰ را در محصولات گوناگون Check Point، از جمله فایروال‌ها، سرورهای مدیریت و ثبت گزارش و Maestro Orchestrator، تحت تأثیر قرار می‌دهد. طبق گزارش شرکت، حدود یک هفته پس از انتشار اصلاحیه امنیتی، فعالیت‌هایی از یک نشانی اینترنتی مشخص، درگاه‌های آسیب‌پذیر Mobile Access را هدف گرفتند. مهاجمان پس از نفوذ، پوسته‌های وب PHP نصب کردند؛ ابزارهایی که امکان اجرای دستور و بارگذاری فایل را فراهم می‌کنند و دسترسی ماندگار ایجاد می‌کنند.
درب پشتی و پاک‌سازی فایل‌ها
بدافزار TSGA به‌عنوان یک درب پشتی برای دسترسی از راه دور طراحی شده و می‌تواند اطلاعات پیکربندی را بدزدد، ماندگاری خود را از طریق نسخه‌های پشتیبان و snapshotها حفظ کند و گزارش‌های فایروال را دست‌کاری کند. جزء دیگری به نام TSProxy نیز ترافیک ویژه مهاجمان را از مسیر پردازش‌های عادی دستگاه عبور می‌دهد؛ روشی که می‌تواند ارتباط مخفیانه را دشوارتر برای شناسایی کند.
مهاجمان همچنین از ابزار اسکن gogo برای شناسایی دستگاه‌ها و سرویس‌های داخلی شبکه استفاده کردند و با حساب سرویس vpxuser از طریق SSH به میزبان ESXi رفتند. در برخی موارد، آن‌ها بدافزار پاک‌کننده‌ای به نام destroy_v6 را اجرا کردند. این بدافزار فایل‌های پوشه‌های انتخاب‌شده را، بدون توجه به پسوندشان، حذف می‌کند و می‌کوشد پیش از حذف، آن‌ها را با داده‌های صفر بازنویسی کند. یادداشتی با عنوان DREAM_ANNEXATION.txt نیز در پوشه‌های پردازش‌شده باقی می‌گذاشت.
ابهام درباره عامل حمله
Check Point اجزای TSGA و TSProxy را مرتبط با مجموعه ابزار PhiliKit می‌داند؛ مجموعه‌ای که پیش‌تر به گروه جاسوسی سایبری Armory Castle نسبت داده شده بود. با این حال، شرکت می‌گوید شواهد برای نسبت دادن قطعی این عملیات به آن گروه یا یک عامل همسو با چین کافی نیست. استفاده از بدافزار پاک‌کننده و پیام‌های سیاسی در یادداشت، از جمله عواملی است که ارزیابی را دشوار می‌کند. احتمال دارد عملیات با هدف تخریب انجام شده باشد، یا فعالیت مخرب نقش پوششی برای پنهان کردن هدف اصلی را داشته باشد. سازمان‌هایی که از محصولات آسیب‌پذیر استفاده می‌کنند باید اصلاحیه‌های امنیتی مربوط را نصب و دسترسی‌های مشکوک و فعالیت‌های SSH را بررسی کنند.
