Saldırı Detayları
Check Point, güvenlik ağ geçitlerini (Security Gateways) hedef alan bir siber saldırı kampanyasını ortaya çıkardı. Saldırganlar, PHP2Shell olarak bilinen (CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıtlı) kritik PHP açıklarından yararlandılar. 30 Ekim 2026'da başlayan bu saldırılar, ilk aşamada İsrail'deki kurumları hedef aldı, ardından 2 Kasım'da farklı ülke ve sektörlerdeki şirketleri kapsayacak şekilde genişledi.
Sızma ve Yayılma Mekanizması
Saldırganlar, Mobil Erişim portalı (Mobile Access portal) üzerinden yetkisiz erişim sağlamak için PHP2Shell açığını kullandılar ve ardından kök (Root) ayrıcalıkları elde etmek için CVE-2026-123039 kodlu yeni bir sıfırıncı gün (Zero-day) açığından yararlandılar. Daha sonra, saldırganların komutlarını normal trafik içinde gizlemek için TSProxy adlı bir ağ bileşeni içeren TSGA gibi arka kapılar yüklendi.
İsrail kurumlarını hedef alan saldırılarda, saldırganlar ele geçirilen ağ geçitlerinden VMware ESXi sunucularına, açık kaynaklı ağ keşif aracı gogo'yu kullanarak geçiş yaptılar. Son aşamada ise, dosyaların kurtarılmasını önlemek için verileri sürekli olarak silen ve boş alanları sıfırlarla doldurma seçeneğine sahip destroy_v6 adlı bir veri silici (wiper) kötü amaçlı yazılım dağıtıldı.
Bu haber neden önemli?
Bu saldırı, fidye talep etmek yerine iş süreçlerini aksatmayı amaçlayan yıkıcı doğası nedeniyle büyük bir risk oluşturuyor; bu durum, saldırganların ele geçirilen sistemlerde bıraktığı siyasi mesajlarla da doğrulandı. Rapor ayrıca, tam yetkilere ulaşmak için uygulama açıklarının sistem açıklarıyla (Linux çekirdeğindeki Fragnesia açığı gibi) birleştirilmesinin tehlikesini vurguluyor.
Koruma Önerileri
Check Point, tüm müşterilerine aşağıdaki önlemleri derhal almalarını tavsiye ediyor:
- Tüm yönetim sunucuları ve güvenlik ağ geçitlerinde November Jumbo Hotfix güncellemesini yükleyin ve internete bağlı ağ geçitlerine öncelik verin.
- upload_progress_pwn içeren oturum dosyaları gibi saldırı göstergelerini (IoC) arayın.
- CPconfigdaemon için beklenmedik süreçleri veya açıklanamayan ikili dosyaların varlığını izleyin.
- Güvenlik duvarı günlüklerini, ağ geçidinden dahili VMware ESXi sunucularına yönelik yetkisiz SSH etkinlikleri açısından inceleyin.