بهره‌برداری مهاجمان از آسیب‌پذیری‌های Check Point برای استقرار بدافزار TSGA و پاک‌سازی فایل‌ها

Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files

یک گروه ناشناس با بهره‌برداری از آسیب‌پذیری‌های PHP2Shell و یک نقص ارتقای سطح دسترسی در سیستم‌عامل Gaia، به درگاه‌های امنیتی Check Point نفوذ کرده‌اند. این حملات که با استقرار بدافزار TSGA و ابزارهای مخرب همراه بوده، منجر به نفوذ به میزبان‌های VMware ESXi و پاک‌سازی فایل‌ها شده است.

جزئیات فنی و زنجیره حمله

حملات از ۳۰ اکتبر ۲۰۲۶ آغاز شد و ابتدا سازمان‌های اسرائیلی را هدف قرار داد، سپس در ۲ نوامبر ۲۰۲۶ به شکلی گسترده‌تر در سطح جهانی ادامه یافت. مهاجمان ابتدا از طریق آسیب‌پذیری‌های PHP2Shell (شناسایی شده با CVE-2026-109618 و CVE-2026-109619) در پورتال‌های Mobile Access به درگاه‌های امنیتی دسترسی اولیه پیدا کردند.

پس از دسترسی اولیه، مهاجمان از نقص امنیتی CVE-2026-123039 با امتیاز CVSS 7.8 برای ارتقای سطح دسترسی به ریشه (root) در رابط DynamicCLI استفاده کردند. این نقص به کاربر محلی احراز هویت شده اجازه می‌دهد با نوشتن یک درخواست در سوکت، دستورات دلخواه را اجرا کند. این آسیب‌پذیری نسخه‌های R82.20، R82.10، R82، R81.20، R81.10 و R81 از محصولات Multi-Domain Security Management و Multi-Domain Log Server را تحت تأثیر قرار می‌دهد.

بدافزار TSGA و اقدامات مخرب

مهاجمان پس از استقرار وب‌شل‌های PHP، بدافزار TSGA را به عنوان یک در پشتی (Backdoor) پایدار نصب کردند. این بدافزار شامل مؤلفه شبکه‌ای TSProxy است که با تزریق کد به فرآیندهای دستگاه، ترافیک مهاجم را مخفی می‌کند. ابزارهای مورد استفاده بخشی از مجموعه PhiliKit هستند که پیش‌تر به گروه Armory Castle نسبت داده شده بود.

در مرحله نهایی، مهاجمان با استفاده از حساب vpxuser به میزبان‌های VMware ESXi نفوذ کرده و بدافزار پاک‌کننده (Wiper) با نام destroy_v6 را اجرا کردند. این بدافزار فایل‌ها را با صفر بازنویسی و حذف می‌کند و یادداشت‌هایی با عنوان DREAM_ANNEXATION.txt بر جای می‌گذارد.

نکته‌های کلیدی

• استفاده از آسیب‌پذیری‌های PHP2Shell برای دسترسی اولیه.
• بهره‌برداری از CVE-2026-123039 برای ارتقای سطح دسترسی به ریشه.
• استقرار بدافزار TSGA و مؤلفه مخفی‌ساز TSProxy.
• نفوذ به محیط‌های مجازی ESXi و اجرای بدافزار پاک‌کننده فایل.
• ابهام در هویت مهاجمان به دلیل استفاده از تاکتیک‌های فریبنده (False-flag).

آسیب‌پذیری‌های این خبر

• CVE-2026-109618 KEV · مهلت ۱۴۰۵/۰۸/۰۷ PHP Group PHP, Siemens AMIS TS, Siemens Energy Engage EPSS ۹۹٫۹٪ 9.2بحرانی
• CVE-2026-109619 KEV · مهلت ۱۴۰۵/۰۸/۰۷ PHP Group PHP, Siemens AMIS TS, Siemens Energy Engage EPSS ۹۹٫۹٪ 9.2بحرانی
• CVE-2026-123039 KEV · مهلت ۱۴۰۵/۰۸/۲۵ checkpoint Quantum Security Gateway, checkpoint Quantum Security Management EPSS ۱٫۲٪ 7.8بالا

این خبر در منابع دیگر

• Network World: تبدیل فایروال‌های Check Point به نقطه ورود مهاجمان ↗
• Security Affairs: حملات مخرب به درگاه‌های Check Point از طریق آسیب‌پذیری PHP2Shell ↗
• BleepingComputer: نفوذ به درگاه‌های Check Point از طریق PHP2Shell برای استقرار بدافزار مخرب در VMware ESXi ↗
• SecurityWeek: بهره‌برداری از PHP2Shell در حملات مخرب به درگاه‌های Check Point ↗