Grupa hakerska powiązana z Chinami przeprowadziła zaawansowaną operację, wykorzystując łańcuch podatności PHP2Shell (CVE-2026-109618, CVE-2026-109619) oraz lukę w jądrze Linux Fragnesia (CVE-2026-46300). Atak wymierzony był w urządzenia firewall jednego z dużych dostawców, które posiadały wystawione interfejsy zarządzania. W wyniku operacji przejęto kontrolę nad 25 serwerami w USA, Japonii, Tajwanie i Korei Południowej, w tym nad trzema systemami powiązanymi z rządem USA.
Napastnicy wykazali się wysokim stopniem zaawansowania, tworząc własne, niestandardowe exploity zamiast korzystać z publicznych wersji. Wykorzystali mechanizm session.uploadprogress w PHP 8.0.30 do wywołania korupcji pamięci, co pozwoliło na zdalne wykonanie kodu. Następnie, dzięki luce w jądrze, uzyskali uprawnienia roota, co umożliwiło im budowę tuneli SSH i atakowanie wewnętrznej infrastruktury Active Directory.
Szczególnym elementem kampanii było wykorzystanie narzędzi AI, takich jak Claude Code oraz platformy aiscan z modelami DeepSeek i Kimi, do wspomagania procesu tworzenia skryptów i infrastruktury. Atakujący najpierw zidentyfikowali tysiące celów za pomocą wyszukiwarki FOFA, a następnie precyzyjnie wyfiltrowali urządzenia z odpowiednimi wersjami oprogramowania.
Skutki ataku obejmują ekstrakcję poświadczeń i enumerację katalogów w środowiskach Active Directory. Choć pełna skala kompromitacji nie jest znana, badacze ostrzegają, że wiele przejętych firewalli wciąż może posiadać aktywne web shelle, a tunele do sieci wewnętrznych mogą pozostać otwarte.
