Хакери ги злоупотребуваат пропустите PHP2Shell во Check Point портите за да распоредат задна врата TSGA и да ги избришат датотеките на ESXi

Непознат хакерски актер е забележан како напаѓа незакрпени Check Point Security Gateways, со цел да оствари почетен пристап преку ранливостите PHP2Shell, а потоа да искористи претходно непријавен пропуст за локално ескалирање на привилегиите во Gaia OS и да распореди задна врата наречена TSGA.

Активноста, детално опишана од страна на Check Point, започнала на 30 октомври 2026 година и била насочена кон организации во Израел. Поширок бран на напади следел на 2 ноември 2026 година, при што биле таргетирани организации во повеќе земји и различни сектори. Дел од организациите кои биле цел на првиот бран биле изложени и на деструктивни активности, вклучително и распоредување малициозен софтвер за бришење податоци (wiper malware).

„PHP2Shell овозможи почетен пристап, по што следеше ескалација на привилегиите преку интерфејсот DynamicCLI, следена како CVE-2026-123039“, соопшти Check Point. „Напаѓачите потоа распоредија PHP веб-школки, постојана задна врата TSGA и нејзината вградена мрежна компонента TSProxy.“

„Напаѓачите преминаа од портата кон VMware ESXi хост преку SSH, го распоредија алатот за бришење податоци destroy_v6 и во текот на деструктивната фаза оставија пораки со политичка содржина во датотеките DREAM_ANNEXATION.txt.“

CVE-2026-123039 (CVSS оцена: 7.8) е ранливост предизвикана од недостиг на проверка на овластувањата, која може да овозможи ескалација на привилегиите до ниво на root во процесот DynamicCLI. На тој начин, секој автентициран локален корисник може да извршува произволни команди со испраќање само едно барање до сокетот.

„Станува збор за пропуст што овозможува локално ескалирање на привилегиите и бара напаѓачот претходно да има можност за извршување код локално на уредот“, соопшти Check Point, додавајќи дека „забележала активна експлоатација на оваа ранливост кај неколку десетици клиенти“.

Проблемот ги засега верзиите R82.20, R82.10, R82, R81.20, R81.10 и R81 на следните производи:

• Check Point Force Firewalls
• Check Point Management and Log Servers
• Multi-Domain Security Management and Multi-Domain Log Server
• Maestro Orchestrator

„Кон крајот на октомври 2026 година, приближно една недела откако стана достапна безбедносната исправка, активност што потекнувала од IP-адресата 130.94.19[.]204 ги таргетирала израелските организации преку ранливи портали за далечински пристап (Mobile Access) на Check Point Security Gateways“, соопшти Check Point.

„Доказите укажуваат на неколку случаи на успешно компромитирање, при што забележаната активност на експлоатација е во согласност со нападите преку PHP2Shell, поврзани со ранливостите CVE-2026-109618 и CVE-2026-109619.“

По добивањето почетен пристап, се верува дека непознатата хакерска група ги ескалирала привилегиите од сервисната сметка на порталот до ниво на root, со злоупотреба на CVE-2026-123039 и распоредување PHP веб-школки со цел да воспостави постојан пристап до системот. Веб-школките поддржуваат извршување команди и можност за поставување датотеки.

Се наведува дека бранот напади од 2 ноември 2026 година бил насочен кон неколку израелски организации кои веќе биле таргетирани во првиот бран, како и кон други организации ширум светот, без притоа да се забележи одредена географска или секторска определба. Ова укажува на опортунистичка кампања за воспоставување почетен пристап.

Пристапот овозможен преку веб-школката го отвора патот за распоредување на TSGA, самостојна пасивна задна врата која вклучува и втора компонента наречена TSProxy. TSGA, распоредена под името slot_CPconfigdaemon, е опишана како малициозен имплант за портата во Linux уредите, со функционалности специфични за Check Point. Таа овозможува шифриран далечински пристап, кражба на конфигурациски податоци, одржување постојан пристап преку резервни копии и снимки на системот (snapshots), инјектирање процеси и манипулација со бинарните логови на заштитниот ѕид.

„[Кодот за инјектирање на TSProxy] ја вчитува оваа библиотека во избрани процеси на уредот, каде што ги пресретнува мрежните функции за да ги обработува специјално означените конекции на напаѓачите, истовремено овозможувајќи нормалниот мрежен сообраќај да продолжи непречено“, соопшти Check Point. „На овој начин се комбинира постојана самостојна задна врата со прикриен пристап преку постојните сервиси на уредот.“

Некои од другите забележани активности по компромитирањето на системите се наведени подолу:

• Распоредување на скенерот gogo на портата за откривање внатрешни средства и сервиси во мрежата.
• Латерално движење кон VMware ESXi хост преку SSH, со автентикација користејќи ја сервисната сметка vpxuser.
• Поставување Linux ELF малициозен софтвер за бришење податоци, наречен destroy_v6, и негово извршување. Малициозниот софтвер рекурзивно ги скенира директориумите на целниот систем и ги брише сите датотеки, без оглед на нивната екстензија. Исто така, се обидува да ги препише датотеките со нули пред да ги избрише.
• Оставање датотека со порака под името „DREAM_ANNEXATION.txt“ во секој обработен директориум.

Се проценува дека TSGA и TSProxy се компоненти специфични за Check Point, кои се дел од пакетот алатки наречен PhiliKit. Овој пакет првпат беше документиран од ESET во јуни 2026 година, при што беше поврзан со кинеска сајбер-шпионска група следена под името Armory Castle, порано позната како UNC5221.

Други показатели што упатуваат на можна вмешаност на хакерски актер поврзан со Кина се користењето VPS инфраструктура од LightNode и фактот дека активностите на скенирање биле концентрирани во периодот меѓу 9 часот навечер и 12 часот наутро по UTC, што се совпаѓа со вообичаеното работно време во Кина.

Сепак, компанијата за сајбер-безбедност соопшти дека нема доволно докази за да ја поврзе најновата кампања со овој хакерски актер или со други познати групи поврзани со Кина, наведувајќи ги следните причини:

• Употреба на малициозен софтвер за уништување податоци.
• Фокусирање на Израел и експлицитни референци на израелско-палестинскиот конфликт во пораката оставена од малициозниот софтвер за бришење податоци.

„Земени заедно, доказите не ни овозможуваат со високо ниво на сигурност да ја процениме вистинската природа на оваа операција“, соопшти Check Point. „Остануваат можни неколку сценарија: идентификуваниот хакерски актер ја спровел целата кампања, дејствувал исклучиво како посредник за обезбедување почетен пристап или учествувал во операција со лажно знаме (false-flag operation). Исто така, можно е деструктивните активности да послужиле како димна завеса за прикривање на вистинските цели на нападот.“

Извори:

• The Hacker News – Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files The Hacker News