ಆಕ್ರಮಣಕಾರರು ಅನೇಕ ದುರ್ಬಲತೆಗಳನ್ನು ಸಂಯೋಜಿಸಿದರು ಮತ್ತು ಅಕ್ಟೋಬರ್ ಅಂತ್ಯ ಮತ್ತು ನವೆಂಬರ್ ಆರಂಭದ ನಡುವೆ ಅನ್ಪ್ಯಾಚ್ ಮಾಡದ ಚೆಕ್ ಪಾಯಿಂಟ್ ಗೇಟ್ವೇಗಳನ್ನು ಮುರಿದರು. ಹಾಗೆ ಮಾಡುವಾಗ, ಅವರು ಮೂಲ ದುರ್ಬಲತೆಯ ಮೂಲಕ ಸಾಧನಗಳ ಮೇಲೆ ಸಂಪೂರ್ಣ ನಿಯಂತ್ರಣವನ್ನು ಪಡೆದರು. ಕನಿಷ್ಠ ಒಂದು ಸಂದರ್ಭದಲ್ಲಿ, ಅವರು ESXi ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಡೇಟಾವನ್ನು ಅಳಿಸಲು ವೈಪರ್ ಅನ್ನು ಬಳಸಿದರು. ನಿರ್ವಾಹಕರು ತಕ್ಷಣವೇ ಕಾರ್ಯನಿರ್ವಹಿಸಬೇಕು ಮತ್ತು ಅವರ ನಿದರ್ಶನಗಳನ್ನು ಸುರಕ್ಷಿತಗೊಳಿಸಬೇಕು. ದಾಳಿ ಮುಂದುವರಿಯುತ್ತದೆಯೇ ಎಂಬುದು ಸ್ಪಷ್ಟವಾಗಿಲ್ಲ.
ಜಾಹೀರಾತಿನ ನಂತರ ಇನ್ನಷ್ಟು ಓದಿ
ಅಪಾಯ
ಒಂದು ಪೋಸ್ಟ್‌ನಲ್ಲಿ, ಆಕ್ರಮಣಕಾರರು ಆರಂಭಿಕ ಪ್ರವೇಶಕ್ಕಾಗಿ php2shell ದುರ್ಬಲತೆಗಳನ್ನು ಬಳಸಿದ್ದಾರೆ ಎಂದು ಚೆಕ್ ಪಾಯಿಂಟ್ ಹೇಳುತ್ತದೆ (CVE-2026-109618 “ನಿರ್ಣಾಯಕ“, CVE-2026-109619 “ನಿರ್ಣಾಯಕ“) ಮೊಬೈಲ್ ಪ್ರವೇಶ ಪೋರ್ಟಲ್‌ಗಳಲ್ಲಿ ಇಂಟರ್ನೆಟ್ ಮೂಲಕ ಪ್ರವೇಶಿಸಬಹುದು. ನಂತರ ಅವರು ಸ್ಥಳೀಯವಾಗಿ ಬಳಸಿಕೊಳ್ಳಬಹುದಾದ ದುರ್ಬಲತೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತಾರೆ (CVE-2026-123039 “ಹೊಚ್“) IT ಭದ್ರತಾ ಪರಿಹಾರಗಳನ್ನು ಒದಗಿಸುವವರ Gaia ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂನಲ್ಲಿ. ಇದನ್ನು ಮಾಡಲು, ದಾಳಿಕೋರರಿಗೆ ಸಾಧನಕ್ಕೆ ಪ್ರವೇಶದ ಅಗತ್ಯವಿದೆ ಮತ್ತು php2shell ಅವರಿಗೆ ಇದನ್ನು ನೀಡುತ್ತದೆ.
ದಾಳಿಗಳು ಯಶಸ್ವಿಯಾದರೆ, ದಾಳಿಕೋರರು ಮೂಲ ಹಕ್ಕುಗಳನ್ನು ಹೊಂದಿರುತ್ತಾರೆ ಮತ್ತು ಶಾಶ್ವತ ಪ್ರವೇಶಕ್ಕಾಗಿ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ವೆಬ್‌ಶೆಲ್‌ಗಳು ಮತ್ತು ಹಿಂಬಾಗಿಲನ್ನು ಇರಿಸುತ್ತಾರೆ. ಚೆಕ್ ಪಾಯಿಂಟ್‌ನಿಂದ ತನಿಖೆ ನಡೆಸಿದ ಪ್ರಕರಣದಲ್ಲಿ, ಆಕ್ರಮಣಕಾರರು ರಾಜಿಯಾದ ಗೇಟ್‌ವೇಯಿಂದ ಆಂತರಿಕ ವ್ಯವಸ್ಥೆಗಳನ್ನು ಹುಡುಕಲು “ಗೋಗೋ” ಸ್ಕ್ಯಾನರ್ ಅನ್ನು ಬಳಸಿದರು ಮತ್ತು SSH ಮೂಲಕ VMware ESXi ಹೋಸ್ಟ್ ಅನ್ನು ಪ್ರವೇಶಿಸಿದರು. ಅಲ್ಲಿ ಅವರು ವೈಪರ್ “destroy_v6” ಅನ್ನು ಬಳಸಿದರು. ಮಾಲ್‌ವೇರ್ ಫೈಲ್‌ಗಳನ್ನು ಓವರ್‌ರೈಟ್ ಮಾಡುತ್ತದೆ ಮತ್ತು ಅವುಗಳನ್ನು ಅಳಿಸುತ್ತದೆ. ದಾಳಿಕೋರರು ಸುಲಿಗೆ ಹಣದಲ್ಲಿ ಸ್ಪಷ್ಟವಾಗಿ ಆಸಕ್ತಿ ಹೊಂದಿಲ್ಲ: ರಾಜಕೀಯವಾಗಿ ಬಣ್ಣದ ಟಿಪ್ಪಣಿಯು ಸುಲಿಗೆ ಮಾತುಕತೆಗಳನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ತಿರಸ್ಕರಿಸುತ್ತದೆ.
ದಾಳಿಯ ಮೊದಲ ಅಲೆ ಅಕ್ಟೋಬರ್ 30 ರಂದು ಪ್ರಾರಂಭವಾಯಿತು ಮತ್ತು ಇಸ್ರೇಲ್‌ನಲ್ಲಿನ ಸಂಘಟನೆಗಳನ್ನು ಗುರಿಯಾಗಿಸಿಕೊಂಡಿತು. ನವೆಂಬರ್ 2 ರ ಹೊತ್ತಿಗೆ, ಚೆಕ್ ಪಾಯಿಂಟ್ ಹಲವಾರು ದೇಶಗಳಲ್ಲಿ ಸ್ಕ್ಯಾನ್‌ಗಳನ್ನು ಗಮನಿಸಿದೆ ಆದರೆ ವಿನಾಶದ ಯಾವುದೇ ಪುರಾವೆಗಳಿಲ್ಲ. ತಯಾರಕರು ಒಂದು ಪ್ರದೇಶದಲ್ಲಿ ಕೆಲವು ಡಜನ್ ರಾಜಿ ವ್ಯವಸ್ಥೆಗಳ ಬಗ್ಗೆ ಮಾತನಾಡುತ್ತಾರೆ. ದಾಳಿಯ ಹಿಂದೆ ಯಾರಿದ್ದಾರೆ ಎಂಬುದು ಸದ್ಯಕ್ಕೆ ಸ್ಪಷ್ಟವಾಗಿಲ್ಲ. ಬಳಸಿದ ಹಿಂಬಾಗಿಲುಗಳು ಫಿಲಿಕಿಟ್ ಮಾಲ್‌ವೇರ್ ಫ್ರೇಮ್‌ವರ್ಕ್ ಅನ್ನು ಹೋಲುತ್ತವೆ, ಇದು ಚೀನಾದೊಂದಿಗೆ ಸಂಬಂಧ ಹೊಂದಿರುವ UNC5221 ಗುಂಪಿಗೆ ESET ಗುಣಲಕ್ಷಣಗಳನ್ನು ನೀಡುತ್ತದೆ. ಆದರೆ ಚೆಕ್ ಪಾಯಿಂಟ್ ತಪ್ಪು ಜಾಡು ಸಾಧ್ಯತೆಯನ್ನು ತಳ್ಳಿಹಾಕುವುದಿಲ್ಲ.
ಎಚ್ಚರಿಕೆ ಸಂದೇಶದ ಪ್ರಕಾರ, ರೂಟ್ ದುರ್ಬಲತೆಯು ಭದ್ರತಾ ಗೇಟ್‌ವೇಗಳು/ಫೈರ್‌ವಾಲ್‌ಗಳು, ನಿರ್ವಹಣೆ ಮತ್ತು ಲಾಗ್ ಸರ್ವರ್‌ಗಳು, ಮಲ್ಟಿ-ಡೊಮೇನ್ ನಿರ್ವಹಣೆ ಮತ್ತು ಲಾಗ್ ಸರ್ವರ್‌ಗಳು ಮತ್ತು R81, R81.10, R81.20, R82, R82.10 ಮತ್ತು R82.20 ಆವೃತ್ತಿಗಳೊಂದಿಗೆ ಮೆಸ್ಟ್ರೋ ಆರ್ಕೆಸ್ಟ್ರೇಟರ್‌ಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ. ಸ್ಪಾರ್ಕ್ ಫೈರ್‌ವಾಲ್‌ಗಳು ಮತ್ತು ಸ್ಮಾರ್ಟ್-1 ಕ್ಲೌಡ್ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುವುದಿಲ್ಲ ಎಂದು ತಯಾರಕರು ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳುತ್ತಾರೆ. US ಸೈಬರ್‌ ಸೆಕ್ಯುರಿಟಿ ಏಜೆನ್ಸಿ CISA ಈಗ ಗಯಾ ದುರ್ಬಲತೆಯನ್ನು ತನ್ನ ಸಕ್ರಿಯವಾಗಿ ಬಳಸಿಕೊಳ್ಳಲಾದ ದುರ್ಬಲತೆಗಳ ಕ್ಯಾಟಲಾಗ್‌ನಲ್ಲಿ ಸೇರಿಸಿದೆ.
ವ್ಯವಸ್ಥೆಗಳನ್ನು ರಕ್ಷಿಸಿ
ಚೆಕ್ ಪಾಯಿಂಟ್ ಶಿಫಾರಸು ಮಾಡುತ್ತದೆ ನವೆಂಬರ್-ಜಂಬೋ-ಹಾಟ್ಫಿಕ್ಸ್ ನಿರ್ವಹಣಾ ಸರ್ವರ್‌ಗಳು ಮತ್ತು ಭದ್ರತಾ ಗೇಟ್‌ವೇಗಳಲ್ಲಿ. ಇದು php2shell ಅಂತರ ಮತ್ತು ಮೂಲ ಅಂತರ ಎರಡನ್ನೂ ಮುಚ್ಚುತ್ತದೆ. ಟೇಕ್ 174 (R81.20), ಟೇಕ್ 132 (R82), ಟೇಕ್ 52 (R82.10) ಮತ್ತು ಟೇಕ್ 14 (R82.20) ನಿಂದ ಜಂಬೋ ಹಾಟ್ಫಿಕ್ಸ್ ಸಂಚಯಕಗಳು ಮೂಲ ಅಂತರದ ವಿರುದ್ಧ ಸಹಾಯ ಮಾಡುತ್ತವೆ. ಇನ್ನು ಮುಂದೆ ಬೆಂಬಲಿಸದ ಆವೃತ್ತಿಗಳಾದ R81 ಮತ್ತು R81.10 ಗಾಗಿ ಚೆಕ್ ಪಾಯಿಂಟ್ ಪರಿಹಾರವನ್ನು ಒದಗಿಸುವುದಿಲ್ಲ. ಡೈನಾಮಿಕ್_ಸರ್ವರ್ ಪ್ರಕ್ರಿಯೆಯನ್ನು ನಿಲ್ಲಿಸುವುದು ಒಂದೇ ಆಯ್ಕೆಯಾಗಿದೆ, ಇದು ಡೈನಾಮಿಕ್ ಸಿಎಲ್ಐ ಆಜ್ಞೆಗಳು ವಿಫಲಗೊಳ್ಳಲು ಕಾರಣವಾಗುತ್ತದೆ.
ಅಕ್ಟೋಬರ್ 23 ರಿಂದ ಲಭ್ಯವಿರುವ php2shell ಹಾಟ್ಫಿಕ್ಸ್ ಅನ್ನು ಮಾತ್ರ ಸ್ಥಾಪಿಸಿದ ಯಾರಾದರೂ ರೂಟ್ ದುರ್ಬಲತೆಯಿಂದ ರಕ್ಷಿಸಲ್ಪಡುವುದಿಲ್ಲ. ಪ್ಯಾಚ್ ಈಗಾಗಲೇ ಸ್ಥಾಪಿಸಲಾದ ಹಿಂಬಾಗಿಲನ್ನು ತೆಗೆದುಹಾಕುವುದಿಲ್ಲ. ಆದ್ದರಿಂದ ಆಕ್ರಮಣಕಾರರು ಈಗಾಗಲೇ ವೆಬ್ ಶೆಲ್‌ಗಳನ್ನು ಅಥವಾ ಹಿಂಬಾಗಿಲುಗಳನ್ನು ಸ್ಥಾಪಿಸಿದ್ದಾರೆಯೇ ಎಂಬುದನ್ನು ಪರಿಶೀಲಿಸಲು ಚೆಕ್ ಪಾಯಿಂಟ್ ಪ್ರಕಟಿಸಿದ ಹೊಂದಾಣಿಕೆಯ ಸೂಚಕಗಳನ್ನು (IoC) ನಿರ್ವಾಹಕರು ಬಳಸಬೇಕು.
ಜಾಹೀರಾತಿನ ನಂತರ ಇನ್ನಷ್ಟು ಓದಿ
(ನ)
