Hackers Makin Ganas! Eksploitasi PHP2Shell, Bypass Firewall Check Point dan Delete Data Pelayan VMware ESXi!

Dunia keselamatan siber sekali lagi berdepan ancaman serius apabila kumpulan penggodam dikesan mengeksploitasi kelemahan PHP2Shell untuk menceroboh sistem keselamatan rangkaian Check Point. Serangan pertama dikesan pada 30 Oktober lalu dengan sasaran organisasi di Israel. Gelombang serangan seterusnya pada 2 November pula dilaporkan melibatkan organisasi di beberapa negara dan sektor. PHP2Shell merujuk kepada dua kelemahan keselamatan PHP, iaitu CVE-2026-109618 dan CVE-2026-109619, yang mana membolehkan hackers menjalankan kod dari jauh pada sistem yang terdedah. Dalam bahasa mudah, kelemahan ini boleh menjadi pintu masuk kepada hackers untuk mendapatkan kawalan awal tanpa perlu mempunyai akses sah terlebih dahulu.

Selepas berjaya memasuki sistem, hackers tidak berhenti setakat itu. Mereka dilaporkan menggunakan satu lagi kelemahan, iaitu CVE-2026-123039, untuk meningkatkan tahap akses sehingga ke akaun root yang mempunyai kuasa tertinggi dalam sistem Linux. Kelemahan ini melibatkan komponen DynamicCLI dalam Gaia OS milik Check Point. Dengan akses lebih tinggi, penyerang memasang PHP webshell, iaitu sejenis fail yang membolehkan arahan dihantar dan dilaksanakan dari jauh. Mereka turut memasang perisian pintu belakang dikenali sebagai TSGA, bersama komponen rangkaian TSProxy. Gabungan ini membolehkan hackers mengekalkan akses tersembunyi, mengintip konfigurasi sistem, memintas komunikasi tertentu dan menyembunyikan sambungan mereka daripada pemantauan biasa.

Lebih serius, hackers kemudian bergerak dari peranti Check Point ke dalam rangkaian dalaman organisasi. Mereka menggunakan alat pengimbas rangkaian untuk mencari aset dan perkhidmatan lain sebelum menyasarkan pelayan VMware ESXi melalui sambungan SSH. Di sinilah serangan bertukar menjadi tindakan pemusnahan data. Hackers dilaporkan menggunakan malware pemadam fail bernama destroy_v6 yang mampu mengimbas direktori dan memadam fail tanpa mengira jenis atau sambungannya. Malware itu juga cuba menulis semula kandungan fail dengan data kosong sebelum memadamkannya. Bayangkan sebuah organisasi yang bergantung kepada pelayan maya untuk menjalankan sistem operasi, pangkalan data dan aplikasi penting tiba-tiba kehilangan fail pada pelayannya. Kesan serangan seperti ini boleh menyebabkan gangguan operasi yang besar, malah pemulihan mungkin memerlukan proses pembinaan semula sistem dan pemulihan sandaran.

Satu lagi perkara menarik dalam laporan tersebut ialah hackers meninggalkan fail nota bernama DREAM_ANNEXATION.txt pada direktori yang diproses oleh malware tersebut. Kandungannya dikaitkan dengan mesej politik berkaitan konflik Israel-Palestin. Penyelidik turut menemui beberapa petunjuk yang mungkin mengaitkan peralatan serangan ini dengan kumpulan pengintipan siber yang mempunyai hubungan dengan China. Bagaimanapun, Check Point menegaskan bukti yang ada belum mencukupi untuk mengesahkan identiti sebenar pelaku. Antara kemungkinan yang masih dipertimbangkan ialah kumpulan tersebut menjalankan keseluruhan serangan, bertindak sebagai pembekal akses kepada pihak lain, atau menggunakan taktik false flag bagi mengelirukan penyiasat. Ini bermakna kita tidak boleh terus membuat kesimpulan bahawa serangan tersebut dilakukan oleh negara atau kumpulan tertentu.

Apa yang boleh dipelajari daripada insiden ini ialah kelemahan pada satu peranti rangkaian boleh menjadi laluan kepada serangan yang lebih besar terhadap keseluruhan infrastruktur organisasi. Pentadbir sistem yang menggunakan produk Check Point terlibat perlu menyemak versi perisian, memasang kemas kini keselamatan yang disediakan pengeluar dan menyiasat sebarang petunjuk pencerobohan, khususnya akses SSH luar biasa ke pelayan VMware ESXi. Akses pengurusan yang terdedah kepada internet juga perlu dikawal dengan ketat. Organisasi tidak sepatutnya hanya bergantung kepada firewall sebagai benteng keselamatan kerana apabila peranti itu sendiri berjaya diceroboh, penyerang mungkin sudah berada di dalam rangkaian. Dalam dunia digital hari ini, satu kelemahan kecil boleh membuka jalan kepada kehilangan data dan lumpuhnya operasi sesebuah organisasi.

Rujukan fakta: The Hacker News – Laporan serangan PHP2Shell⁠ · Check Point Research – Analisis teknikal serangan⁠ · BleepingComputer – Serangan terhadap VMware ESXi⁠.