একজন অজানা হুমকি অভিনেতাকে PHP2Shell দুর্বলতার মাধ্যমে প্রাথমিক অ্যাক্সেস পাওয়ার জন্য আনপ্যাচড চেক পয়েন্ট সিকিউরিটি গেটওয়েকে লক্ষ্য করে লক্ষ্য করা গেছে এবং তারপরে TSGA নামক একটি ব্যাকডোর মোতায়েন করার জন্য Gaia OS-এ একটি পূর্বে রিপোর্ট করা হয়নি স্থানীয় বিশেষাধিকার বৃদ্ধির ত্রুটি।
চেক পয়েন্ট দ্বারা বিস্তারিত ক্রিয়াকলাপটি 30 অক্টোবর, 2026-এ শুরু হয়েছিল এবং 2 নভেম্বর, 2026-এ একটি বিস্তৃত ফলো-আপ ওয়েভ সহ ইসরায়েলি সংস্থাগুলিকে লক্ষ্যবস্তু করে, যা একাধিক দেশ এবং সেক্টর জুড়ে সংস্থাগুলিকে লক্ষ্য করে। প্রথম তরঙ্গে একক কিছু সংস্থাও ধ্বংসাত্মক কর্মের প্রাপ্তির শেষে রয়েছে যার মধ্যে ওয়াইপার ম্যালওয়্যার স্থাপন অন্তর্ভুক্ত রয়েছে।
"PHP2Shell প্রাথমিক অ্যাক্সেস প্রদান করেছে, তারপরে DynamicCLI ইন্টারফেসের মাধ্যমে বিশেষাধিকার বৃদ্ধি করেছে, CVE-2026-123039 হিসাবে ট্র্যাক করা হয়েছে," চেক পয়েন্ট বলেছে৷ "আক্রমণকারীরা তখন পিএইচপি ওয়েব শেল, স্থায়ী TSGA ব্যাকডোর এবং এর এমবেডেড TSProxy নেটওয়ার্কিং উপাদান স্থাপন করে।"
"আক্রমণকারীরা গেটওয়ে থেকে SSH-এর উপর একটি VMware ESXi হোস্টে পিভট করেছিল, ধ্বংস_v6 ওয়াইপার স্থাপন করেছিল এবং ধ্বংসাত্মক পর্যায়ে রাজনৈতিকভাবে থিমযুক্ত DREAM_ANNEXATION.txt নোট রেখে গিয়েছিল।"
CVE-2026-123039 (CVSS স্কোর: 7.8) হল একটি অনুপস্থিত অনুমোদনের ত্রুটি যা DynamicCLI প্রক্রিয়ার রুট করার জন্য বিশেষাধিকার বৃদ্ধিকে সক্ষম করতে পারে, যে কোনো প্রমাণীকৃত স্থানীয় ব্যবহারকারীকে সকেটে একটি একক অনুরোধ লিখে স্বেচ্ছাচারী কমান্ড চালাতে সক্ষম করে।
"ইস্যুটি একটি স্থানীয় বিশেষাধিকার বৃদ্ধি এবং আক্রমণকারীকে ইতিমধ্যেই অ্যাপ্লায়েন্সে স্থানীয় কোড কার্যকর করতে হবে," চেক পয়েন্ট বলেছে, এটি "কয়েক ডজন গ্রাহকের বিরুদ্ধে এই দুর্বলতার সক্রিয় শোষণ লক্ষ্য করেছে।"
সমস্যাটি নিম্নলিখিত পণ্যগুলির R82.20, R82.10, R82, R81.20, R81.10 এবং R81 সংস্করণগুলিকে প্রভাবিত করে -
পয়েন্ট ফোর্স ফায়ারওয়াল চেক করুন
পয়েন্ট ম্যানেজমেন্ট এবং লগ সার্ভার চেক করুন
মাল্টি-ডোমেন সিকিউরিটি ম্যানেজমেন্ট এবং মাল্টি-ডোমেন লগ সার্ভার
মায়েস্ট্রো অর্কেস্ট্রেটর
"অক্টোবর 2026-এর শেষের দিকে, একটি নিরাপত্তা ফিক্স উপলব্ধ হওয়ার প্রায় এক সপ্তাহ পরে, কার্যকলাপ 130.94.19 থেকে শুরু হয়।
"সিভিই-2026-109618 এবং CVE-2026-109619 এর সাথে যুক্ত PHP2Shell-এর সাথে সামঞ্জস্যপূর্ণ শোষণ কার্যকলাপ সহ একটি সফল সমঝোতার কিছু ক্ষেত্রে প্রমাণের পরামর্শ দেওয়া হয়েছে।"
প্রাথমিক অ্যাক্সেস পাওয়ার পর, অজানা হ্যাকিং গোষ্ঠী CVE-2026-123039 অস্ত্রোপচারের মাধ্যমে পোর্টাল পরিষেবা অ্যাকাউন্ট থেকে রুট করার সুবিধা বাড়িয়েছে এবং অবিরাম অ্যাক্সেস প্রতিষ্ঠার লক্ষ্যে পিএইচপি ওয়েব শেল স্থাপন করেছে বলে জানা যায়। ওয়েব শেল কমান্ড এক্সিকিউশন এবং ফাইল আপলোড ক্ষমতা সমর্থন করে।
2শে নভেম্বর, 2026, তরঙ্গ কিছু ইসরায়েলি সংস্থাকে লক্ষ্যবস্তু করেছিল যা ইতিমধ্যেই প্রথম তরঙ্গে লক্ষ্যবস্তু করা হয়েছিল, বিশ্বব্যাপী অন্যান্য সংস্থার পাশাপাশি, কোনও নির্দিষ্ট ভৌগলিক বা সেক্টর পছন্দ প্রদর্শন না করে, একটি সুবিধাবাদী প্রাথমিক-অ্যাক্সেস প্রচেষ্টা নির্দেশ করে।
ওয়েব শেল দ্বারা উপলব্ধ অ্যাক্সেস টিএসজিএ-র জন্য পথ প্রশস্ত করে, একটি স্বতন্ত্র প্যাসিভ ব্যাকডোর যাতে TSProxy নামক একটি দ্বিতীয় উপাদান অন্তর্ভুক্ত থাকে। TSGA, slot_CPconfigdaemon হিসাবে নিয়োজিত, চেক পয়েন্ট-নির্দিষ্ট কার্যকারিতা সহ একটি Linux গেটওয়ে ইমপ্লান্ট হিসাবে বর্ণনা করা হয়েছে, এনক্রিপ্ট করা রিমোট অ্যাক্সেস, কনফিগারেশন চুরি, ব্যাকআপ এবং স্ন্যাপশট অধ্যবসায়, প্রক্রিয়া ইনজেকশন এবং বাইনারি ফায়ারওয়াল-লগ টেম্পারিং অফার করে।
"[TSProxy's] ইনজেকশন কোড এই লাইব্রেরিটিকে নির্বাচিত অ্যাপ্লায়েন্স প্রক্রিয়াগুলিতে লোড করে, যেখানে এটি সাধারণ ট্র্যাফিককে চালিয়ে যাওয়ার অনুমতি দেওয়ার সময় বিশেষভাবে চিহ্নিত আক্রমণকারী সংযোগগুলি পরিচালনা করতে নেটওয়ার্কিং ফাংশনগুলিকে বাধা দেয়," চেক পয়েন্ট বলেছে৷ "এটি বিদ্যমান অ্যাপ্লায়েন্স পরিষেবার মাধ্যমে গোপন অ্যাক্সেসের সাথে একটি স্থায়ী স্বতন্ত্র ব্যাকডোরকে একত্রিত করে।"
শোষণ-পরবর্তী অন্যান্য ক্রিয়াগুলির মধ্যে কয়েকটি নীচে তালিকাভুক্ত করা হয়েছে -
নেটওয়ার্ক জুড়ে অভ্যন্তরীণ সম্পদ এবং পরিষেবাগুলি আবিষ্কার করতে গেটওয়েতে গোগো স্ক্যানার স্থাপন করা হচ্ছে৷
vpxuser পরিষেবা অ্যাকাউন্টের সাথে প্রমাণীকরণের মাধ্যমে SSH-এর উপর একটি VMware ESXi হোস্টে পার্শ্ববর্তীভাবে সরানো।
Destro_v6 নামে একটি লিনাক্স ইএলএফ ওয়াইপার স্টেজ করা এবং এটি কার্যকর করা। ম্যালওয়্যার পুনরাবৃত্তিমূলকভাবে লক্ষ্য ডিরেক্টরি অতিক্রম করে এবং তাদের এক্সটেনশন নির্বিশেষে সমস্ত ফাইল মুছে দেয়। এটি মুছে ফেলার আগে শূন্য দিয়ে ফাইলগুলিকে ওভাররাইট করার চেষ্টা করে।
প্রতিটি প্রক্রিয়াকৃত ডিরেক্টরিতে "DREAM_ANNEXATION.txt" নামের একটি নোট ড্রপ করা হচ্ছে।
TSGA এবং TSProxy উভয়কেই ফিলিকিট নামে একটি টুলকিটের চেক পয়েন্ট-নির্দিষ্ট উপাদান হিসাবে মূল্যায়ন করা হয়েছে যেটি 2026 সালের জুন মাসে ESET দ্বারা প্রথম নথিভুক্ত করা হয়েছিল, এটিকে আর্মোরি ক্যাসল (পূর্বে UNC5221) হিসাবে ট্র্যাক করা একটি চায়না-নেক্সাস সাইবার গুপ্তচরবৃত্তি গ্রুপকে দায়ী করে।
অন্যান্য কারণগুলি যেগুলি সম্ভাব্য চীন-সংযুক্ত হুমকি অভিনেতার সম্পৃক্ততার দিকে নির্দেশ করে তার মধ্যে রয়েছে LightNode VPS পরিকাঠামোর ব্যবহার এবং এই সত্য যে স্ক্যানিং কার্যকলাপ 12 থেকে 9 am UTC-এর মধ্যে কেন্দ্রীভূত ছিল, যা সাধারণ চীনা কাজের সময়ের সাথে মিলে যায়।
যাইহোক, সাইবারসিকিউরিটি কোম্পানি বলেছে যে তাদের কাছে সাম্প্রতিক প্রচারণাকে হুমকি অভিনেতা বা অন্যান্য পরিচিত চীনা-নেক্সাস গ্রুপের সাথে যুক্ত করার জন্য পর্যাপ্ত প্রমাণ নেই, নিম্নলিখিত কারণগুলি উল্লেখ করে -
ওয়াইপার ম্যালওয়্যার ব্যবহার
ওয়াইপার নোটে ইসরায়েলের উপর ফোকাস করুন এবং ইসরাইল-ফিলিস্তিন সংঘাতের স্পষ্ট উল্লেখ
"একসাথে নেওয়া, প্রমাণগুলি আমাদের এই অপারেশনের প্রকৃত প্রকৃতির উচ্চ আত্মবিশ্বাসের সাথে মূল্যায়ন করার অনুমতি দেয় না," চেক পয়েন্ট বলেছে। "বেশ কিছু পরিস্থিতি প্রশংসনীয় রয়ে গেছে: চিহ্নিত অভিনেতা পুরো প্রচারাভিযান চালিয়েছিলেন, শুধুমাত্র একটি প্রাথমিক অ্যাক্সেস ব্রোকার হিসাবে কাজ করেছিলেন, বা একটি মিথ্যা-পতাকা অপারেশনে অংশ নিয়েছিলেন। এটাও সম্ভব যে ধ্বংসাত্মক কার্যকলাপটি স্মোক স্ক্রিন হিসাবে কাজ করেছিল।"
