Grupa hakerska powiązana z Chinami przeprowadziła zaawansowany atak, wykorzystując łańcuch exploitów PHP2Shell (CVE-2026-109618, CVE-2026-109619) oraz lukę eskalacji uprawnień w jądrze Linux o nazwie Fragnesia (CVE-2026-46300). Celem były firewalle konkretnego producenta, które napastnicy zidentyfikowali za pomocą wyszukiwarki FOFA.
Po zidentyfikowaniu celów w USA, Japonii, Tajwanie i Korei Południowej, hakerzy skutecznie przejęli kontrolę nad kilkoma urządzeniami, instalując webshelle z uprawnieniami roota. W jednym z przypadków udało im się dotrzeć do wewnętrznego serwera zarządzania firewallami organizacji powiązanej z rządem USA.
Przejęcie serwera zarządzania pozwoliło atakującym na dostęp do konfiguracji, poświadczeń oraz deszyfrację haseł kont serwisowych LDAP. W dalszej fazie operacji hakerzy próbowali enumerować użytkowników w domenie, przeprowadzać ataki typu password spraying oraz tworzyć konta typu backdoor w Active Directory.
