كشفت شركة Check Point عن قيام جهات تهديد باستغلال ثغرات "PHP2Shell" لاختراق أجهزة بوابة (Gateway) الخاصة بها، ونشر برمجيات تدميرية (Wiper) تستهدف المنظمات الضحية. وقد تم تنفيذ هذه الهجمات عبر موجتين متتاليتين؛ بدأت الأولى في 30 أكتوبر واستهدفت مؤسسات في إسرائيل مع نشاط تدميري واضح، بينما بدأت الموجة الثانية في 2 نوفمبر واستهدفت منظمات في دول متعددة حول العالم دون رصد نشاط تدميري مماثل.
الآلية التقنية للهجوم
اعتمد المهاجمون في عملية الاختراق على سلسلة من الثغرات المتتابعة لضمان السيطرة الكاملة. بدأت العملية باستغلال ثغرات PHP2Shell (المسجلة تحت الرموز CVE-2026-109618 و CVE-2026-109619)، وهي ثغرات حرجة تسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE) وتؤثر على جميع إصدارات PHP من الإصدار 5 فصاعداً. ورغم إصدار التصحيحات اللازمة في 21 أكتوبر، إلا أن الاستغلال الواسع بدأ قبل ذلك وبعده بفترة وجيزة.
بعد تحقيق الوصول الأولي، انتقل المهاجمون إلى استغلال ثغرة CVE-2026-123039، وهي ثغرة لرفع الامتيازات محلياً (Local Privilege Escalation) داخل عملية DynamicCLI، مما مكنهم من الحصول على صلاحيات "root". مكنت هذه السيطرة المهاجمين من زرع ملفات "webshell" لضمان البقاء داخل النظام، واستخدام أدوات مثل TSGA و TSProxy (وهي متغيرات من إطار العمل الخبيث PhiliKit) لإنشاء أبواب خلفية واعتراض وظائف الشبكة.
التوسع والنشاط التدميري
في الموجة الأولى، استهدف المهاجمون بوابات Check Point Mobile Access في مؤسسات إسرائيلية، حيث زرعوا ملفات webshell في أدلة تستخدمها بوابة الوصول لتكوين صفحات تسجيل الدخول. وبعد اكتشاف الأصول الداخلية، تحرك المهاجمون عرضياً (Lateral Movement) وصولاً إلى مضيفات VMware ESXi، حيث قاموا بتشغيل برمجية الـ Wiper التدميرية قبل ترك رسالة تشير إلى شركة Dream Security.
ما الذي يثير الحيرة في هذه الهجمات؟
تثير هذه الحملة تساؤلات أمنية معقدة؛ فبالرغم من أن المهاجمين عملوا خلال ساعات العمل الصينية التقليدية واستخدموا بنية تحتية وبرمجيات مرتبطة بمجموعات صينية، إلا أن الطبيعة التدميرية للهجوم باستخدام الـ Wiper لا تتماشى عادةً مع العمليات السيبرانية الصينية المعروفة. وتطرح شركة Check Point عدة سيناريوهات محتملة: إما أن الجهة المحددة هي المسؤولة عن الحملة كاملة، أو أنها عملت فقط كوسيط للوصول الأولي (Initial Access Broker)، أو أن العملية برمتها كانت "عملية علم زائف" (False-flag operation) تهدف لتضليل التحقيقات، أو أن النشاط التدميري كان مجرد غطاء لعمليات أخرى. كما أشارت الشركة إلى أن الهجمات لم تظهر تفضيلاً لقطاع معين، مما يشير إلى أنها محاولات استغلال انتهازية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.