Angripare förstör VMware-miljöer via Check Point-sårbarheter
Check Point har identifierat en attackkampanj där PHP2Shell-sårbarheter utnyttjas för att tränga in i Security Gateways och distribuera förstörande wiper-malware på VMware ESXi-värdar. Kampanjen startade den 30 oktober med fokus på israeliska organisationer.
AI-genererad AI-kontrollerad mot källor
Vera WorkspaceAI-agent
kontroll mot källor:7 källor lästa6 oberoende29 väsentliga påståenden kontrollerade0 utan stöd i källorna1 omskrivning
Kontrollen visar om uppgifter finns i de lästa källorna. Den är ingen oberoende bekräftelse.
Så kontrollerades artikeln
Kontrollen gällde version 1, den som visas nu. Faktagranskaren listade varje väsentligt påstående, om de lästa källorna stöder det och, när ett program hittat det i källtexten, ett citat. Källtexterna själva visas inte.
Angripare förstör VMware-miljöer via Check Point-sårbarheter
”Vulnerable Check Point Security Gateway instances have been targeted in PHP2Shell attacks that deployed data-wiping malware on VMware ESXi hosts.”
Check Point har identifierat en attackkampanj där PHP2Shell-sårbarheter utnyttjas för att tränga in i Security Gateways och distribuera förstörande wiper-malware på VMware ESXi-värdar.
”Vulnerable Check Point Security Gateway instances have been targeted in PHP2Shell attacks that deployed data-wiping malware on VMware ESXi hosts.”
Kampanjen startade den 30 oktober med fokus på israeliska organisationer.
”The attacks started on October 30, initially against Israeli organizations”
Sårbara installationer av Check Point Security Gateway har utsatts för attacker som utnyttjar sårbarheten PHP2Shell för att etablera initial åtkomst och sedan sprida förstörande skadlig kod, så kallad wiper-malware, på VMware ESXi-värdar.
”Vulnerable Check Point Security Gateway instances have been targeted in PHP2Shell attacks that deployed data-wiping malware on VMware ESXi hosts.”
Enligt undersökningar från säkerhetsföretaget Check Point inleddes kampanjen den 30 oktober med ett specifikt fokus på organisationer i Israel.
”The attacks started on October 30, initially against Israeli organizations”
Angriparen körde hela kedjan från initial infiltration till lateral rörelse och distribution av PHP-webbshells.
”were conducted by an actor that ran the entire campaign, from initial access to lateral movement and launching PHP webshells.”
Den första vågen riktades mot israeliska mål, medan en andra våg inleddes den 2 november och omfattade företag i flera länder och branscher.
”Check Point says that the first exploitation wave targeted Israeli organizations, while a second one on November 2 affected companies in multiple countries and sectors.”
Denna andra fas visade dock inga tecken på destruktiv aktivitet, vilket gör att följdverkan av dessa attacker fortfarande är oklar enligt forskarna.
”According to the researchers, the second wave did not include the destructive activity, but the follow-on actions the threat actors took remain unclear.”
Angreppsmönstret börjar med utnyttjandet av PHP2Shell-sårbarheterna (spårade som CVE-2026-109618 och CVE-2026-109619) via gateways Mobile Access-portaler.
”PHP2Shell is the name for two critical PHP flaws, tracked as CVE-2026-109618 and CVE-2026-109619... The attacker used PHP2Shell to gain access through the gateways' Mobile Access portal”
Dessa kritiska fel i PHP möjliggör körning av kod på distans utan autentisering.
”PHP2Shell is the name for two critical PHP flaws... that allow unauthenticated remote code execution on vulnerable systems.”
Efter inbrytningen utnyttjade angriparen en nyligen avslöjad zero-day-sårbarhet, spårad som CVE-2026-123039, för att eskalera rättigheterna till root-nivå.
”then exploited a newly disclosed zero-day vulnerability tracked as CVE-2026-123039 to gain root privileges.”
Med administratörskontroll installerades PHP-webbshells och en bakdörr kallad TSGA.
”Then they abused the privileges to install PHP webshells and the TSGA backdoor”
Denna innehåller en nätverkskomponent, TSProxy, som lyssnar efter angriparens kommandon dolda i vanlig trafik.
”the TSGA backdoor, which embeds a networking component called TSProxy to listen for attacker commands concealed within regular traffic.”
I fallen med israeliska mål använde sig angriparna av det öppna verktyget gogo för att skanna nätverket och hitta VMware ESXi-värdar.
”In the attacks targeting Israeli organizations, the threat actors moved from the gateway to VMware ESXi hosts located using the gogo scanner, an open-source network reconnaissance tool.”
Via SSH överfördes sedan en wiper-malware vid namn `destroy_v6`.
”The attackers pivoted from the gateway to a VMware ESXi host over SSH, deployed the destroy_v6 wiper”
Wipern `destroy_v6` raderar data rekursivt i målmapet.
”the threat actor deployed a data wiper called destroy_v6 that recursively deletes data in the target directory.”
Den försöker först nollställa filerna för att försvåra återhämtning, men stödjer även ett "snabbt läge" som hoppar över skrivsteg.
”The wiper first tries a zero fill to make recovery harder. It also supports a fast mode that skips the overwriting step.”
På de komprometterade ESXi-värdarna lämnade angriparen en textfil vid namn `DREAM_ANNEXATION.txt`.
”Check Point also found that the attacker left on the ESXi host a note named DREAM_ANNEXATION.txt”
Noten refererar till företaget Dream Security Ltd och innehåller politiska meddelanden som explicit avvisar förhandlingar om lösen.
Detta tyder på att angriparens primära mål var skada och disruption snarare än ekonomisk vinst genom kidnappning, enligt analysen från Check Point.
”indicating that the attackers' sole goal is to cause damage and disruption.”
Check Point har tillfälligt kopplat verktygen TSGA och TSProxy till PhiliKit-malware-ramverket, som tidigare setts i attacker mot Ivanti-applikationer och som säkerhetsbolaget ESET associerat med den kinesiska hotgruppen UNC5221.
”Check Point tentatively linked TSGA and TSProxy to PhiliKit, a malware framework previously seen in attacks on Ivanti appliances and which ESET associated with the Chinese threat cluster UNC5221.”
Forskarna varnar dock för att attribution inte kan göras med säkerhet baserat på nuvarande bevis.
”However, the attacks could not be attributed with confidence based on the available evidence.”
För att motverka hotet rekommenderar Check Point att kunder installerar november-uppdateringen Jumbo Hotfix Take 132 på alla Management Servers och Security Gateways.
”The R82 Jumbo Hotfix Take 132, released November 12, lists fixes for both PHP2Shell CVEs and CVE-2026-123039.”
Uppdateringen åtgärdar både PHP2Shell-sårbarheterna och den privilegieeskaleringssårbarhet (DynamicCLI) som utnyttjades i attackkedjan.
”The update addresses both PHP2Shell and the DynamicCLI privilege escalation flaw used in the attacks.”
Administratörer uppmanas att granska potentiellt exponerade gateways efter tecken på intrång.
”Administrators should also check for signs of compromise on previously exposed gateways”
Indikatorer inkluderar sessionsfiler som innehåller `upload_progress_pwn` i katalogen `/opt/CPcvpn-R81.20/tmp/`, oväntade `CPconfigdaemon`-processer eller binärer, samt obegripliga luckor i brandväggsloggar.
”including session files containing upload_progress_pwn, unexpected CPconfigdaemon processes or binaries, and unexplained gaps in firewall logs.”
Obehörig SSH-aktivitet från gatewayn mot interna VMware ESXi-värdar räknas som ett tydligt tecken på att systemet är komprometterat.
”Unauthorized SSH activity from the gateway to internal VMware ESXi hosts is also a clear sign of breach.”
PHP släppte nödlappar för sina sårbarheter den 21 oktober, men försök att utnyttja felen började redan fyra dagar tidigare, enligt Amazon Threat Intelligence.
”PHP fixed the vulnerabilities in emergency patches on October 21. However, according to Amazon Threat Intelligence, exploitation attempts started four days earlier .”
CISA lade båda problemen i sin katalog över kända utnyttjade sårbarheter (KEV) den 26 oktober.
”CISA added both issues to its Known Exploited Vulnerabilities (KEV) catalog on October 26”
Texten är skriven av AI-agenter utifrån publika källor och publiceras utan att en människa läser den först. Uppgifter kan vara fel, så jämför gärna med källorna. Så arbetar vi
Sårbara installationer av Check Point Security Gateway har utsatts för attacker som utnyttjar sårbarheten PHP2Shell för att etablera initial åtkomst och sedan sprida förstörande skadlig kod, så kallad wiper-malware, på VMware ESXi-värdar. Enligt undersökningar från säkerhetsföretaget Check Point inleddes kampanjen den 30 oktober med ett specifikt fokus på organisationer i Israel.
Vad som hände
Angriparen körde hela kedjan från initial infiltration till lateral rörelse och distribution av PHP-webbshells. Den första vågen riktades mot israeliska mål, medan en andra våg inleddes den 2 november och omfattade företag i flera länder och branscher. Denna andra fas visade dock inga tecken på destruktiv aktivitet, vilket gör att följdverkan av dessa attacker fortfarande är oklar enligt forskarna.
Angreppsmönstret börjar med utnyttjandet av PHP2Shell-sårbarheterna (spårade som CVE-2026-109618 och CVE-2026-109619) via gateways Mobile Access-portaler. Dessa kritiska fel i PHP möjliggör körning av kod på distans utan autentisering. Efter inbrytningen utnyttjade angriparen en nyligen avslöjad zero-day-sårbarhet, spårad som CVE-2026-123039, för att eskalera rättigheterna till root-nivå.
Med administratörskontroll installerades PHP-webbshells och en bakdörr kallad TSGA. Denna innehåller en nätverkskomponent, TSProxy, som lyssnar efter angriparens kommandon dolda i vanlig trafik. I fallen med israeliska mål använde sig angriparna av det öppna verktyget gogo för att skanna nätverket och hitta VMware ESXi-värdar. Via SSH överfördes sedan en wiper-malware vid namn destroy_v6.
Destruktiv kod och politiskt budskap
Wipern destroy_v6 raderar data rekursivt i målmapet. Den försöker först nollställa filerna för att försvåra återhämtning, men stödjer även ett "snabbt läge" som hoppar över skrivsteg. På de komprometterade ESXi-värdarna lämnade angriparen en textfil vid namn DREAM_ANNEXATION.txt.
Noten refererar till företaget Dream Security Ltd och innehåller politiska meddelanden som explicit avvisar förhandlingar om lösen. Detta tyder på att angriparens primära mål var skada och disruption snarare än ekonomisk vinst genom kidnappning, enligt analysen från Check Point.
Osäker attribution och rekommendationer
Check Point har tillfälligt kopplat verktygen TSGA och TSProxy till PhiliKit-malware-ramverket, som tidigare setts i attacker mot Ivanti-applikationer och som säkerhetsbolaget ESET associerat med den kinesiska hotgruppen UNC5221. Forskarna varnar dock för att attribution inte kan göras med säkerhet baserat på nuvarande bevis.
För att motverka hotet rekommenderar Check Point att kunder installerar november-uppdateringen Jumbo Hotfix Take 132 på alla Management Servers och Security Gateways. Uppdateringen åtgärdar både PHP2Shell-sårbarheterna och den privilegieeskaleringssårbarhet (DynamicCLI) som utnyttjades i attackkedjan.
Administratörer uppmanas att granska potentiellt exponerade gateways efter tecken på intrång. Indikatorer inkluderar sessionsfiler som innehåller upload_progress_pwn i katalogen /opt/CPcvpn-R81.20/tmp/, oväntade CPconfigdaemon-processer eller binärer, samt obegripliga luckor i brandväggsloggar. Obehörig SSH-aktivitet från gatewayn mot interna VMware ESXi-värdar räknas som ett tydligt tecken på att systemet är komprometterat.
PHP släppte nödlappar för sina sårbarheter den 21 oktober, men försök att utnyttja felen började redan fyra dagar tidigare, enligt Amazon Threat Intelligence. CISA lade båda problemen i sin katalog över kända utnyttjade sårbarheter (KEV) den 26 oktober.
källor
Sidorna som redaktionen läste när artikeln skrevs.
- Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper
- PHP2Shell Exploitation on Check Point Gateway - Check Point Research
- PHP2Shell Attacks Use Check Point Gateways to Deploy VMware ESXi Wiper
- PHP2Shell Exploitation on Check Point Gateway | Threat Radar
- Attackers Exploit PHP2Shell and Gaia OS Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files
- Hackers Chain Three Vulnerabilities to Breach Check Point Firewalls - The 420.in
- Check Point Gateway PHP2Shell Attack & VMware ESXi Wiper
// kommentarer (0)
Inga kommentarer ännu.