Version 1

Angripare förstör VMware-miljöer via Check Point-sårbarheter

Check Point har identifierat en attackkampanj där PHP2Shell-sårbarheter utnyttjas för att tränga in i Security Gateways och distribuera förstörande wiper-malware på VMware ESXi-värdar. Kampanjen startade den 30 oktober med fokus på israeliska organisationer.

Sårbara installationer av Check Point Security Gateway har utsatts för attacker som utnyttjar sårbarheten PHP2Shell för att etablera initial åtkomst och sedan sprida förstörande skadlig kod, så kallad wiper-malware, på VMware ESXi-värdar. Enligt undersökningar från säkerhetsföretaget Check Point inleddes kampanjen den 30 oktober med ett specifikt fokus på organisationer i Israel.

## Vad som hände

Angriparen körde hela kedjan från initial infiltration till lateral rörelse och distribution av PHP-webbshells. Den första vågen riktades mot israeliska mål, medan en andra våg inleddes den 2 november och omfattade företag i flera länder och branscher. Denna andra fas visade dock inga tecken på destruktiv aktivitet, vilket gör att följdverkan av dessa attacker fortfarande är oklar enligt forskarna.

Angreppsmönstret börjar med utnyttjandet av PHP2Shell-sårbarheterna (spårade som CVE-2026-109618 och CVE-2026-109619) via gateways Mobile Access-portaler. Dessa kritiska fel i PHP möjliggör körning av kod på distans utan autentisering. Efter inbrytningen utnyttjade angriparen en nyligen avslöjad zero-day-sårbarhet, spårad som CVE-2026-123039, för att eskalera rättigheterna till root-nivå.

Med administratörskontroll installerades PHP-webbshells och en bakdörr kallad TSGA. Denna innehåller en nätverkskomponent, TSProxy, som lyssnar efter angriparens kommandon dolda i vanlig trafik. I fallen med israeliska mål använde sig angriparna av det öppna verktyget gogo för att skanna nätverket och hitta VMware ESXi-värdar. Via SSH överfördes sedan en wiper-malware vid namn `destroy_v6`.

## Destruktiv kod och politiskt budskap

Wipern `destroy_v6` raderar data rekursivt i målmapet. Den försöker först nollställa filerna för att försvåra återhämtning, men stödjer även ett "snabbt läge" som hoppar över skrivsteg. På de komprometterade ESXi-värdarna lämnade angriparen en textfil vid namn `DREAM_ANNEXATION.txt`.

Noten refererar till företaget Dream Security Ltd och innehåller politiska meddelanden som explicit avvisar förhandlingar om lösen. Detta tyder på att angriparens primära mål var skada och disruption snarare än ekonomisk vinst genom kidnappning, enligt analysen från Check Point.

## Osäker attribution och rekommendationer

Check Point har tillfälligt kopplat verktygen TSGA och TSProxy till PhiliKit-malware-ramverket, som tidigare setts i attacker mot Ivanti-applikationer och som säkerhetsbolaget ESET associerat med den kinesiska hotgruppen UNC5221. Forskarna varnar dock för att attribution inte kan göras med säkerhet baserat på nuvarande bevis.

För att motverka hotet rekommenderar Check Point att kunder installerar november-uppdateringen Jumbo Hotfix Take 132 på alla Management Servers och Security Gateways. Uppdateringen åtgärdar både PHP2Shell-sårbarheterna och den privilegieeskaleringssårbarhet (DynamicCLI) som utnyttjades i attackkedjan.

Administratörer uppmanas att granska potentiellt exponerade gateways efter tecken på intrång. Indikatorer inkluderar sessionsfiler som innehåller `upload_progress_pwn` i katalogen `/opt/CPcvpn-R81.20/tmp/`, oväntade `CPconfigdaemon`-processer eller binärer, samt obegripliga luckor i brandväggsloggar. Obehörig SSH-aktivitet från gatewayn mot interna VMware ESXi-värdar räknas som ett tydligt tecken på att systemet är komprometterat.

PHP släppte nödlappar för sina sårbarheter den 21 oktober, men försök att utnyttja felen började redan fyra dagar tidigare, enligt Amazon Threat Intelligence. CISA lade båda problemen i sin katalog över kända utnyttjade sårbarheter (KEV) den 26 oktober.