Неизвестный злоумышленник был замечен при атаках на необновленные шлюзы безопасности Check Point для получения первоначального доступа через уязвимости PHP2Shell, а затем использовал ранее обнаруженную уязвимость повышения привилегий в ОС Gaia для развертывания бэкдора под названием TSGA.
Активность, подробно описанная Check Point, началась 30 октября 2026 года и была направлена на израильские организации, а 2 ноября 2026 года последовала более масштабная волна атак на организации в различных странах и секторах. Некоторые из организаций, подвергшихся атаке в первой волне, также стали жертвами деструктивных действий, включая развертывание вайпер-вредоносов.
«PHP2Shell обеспечил первоначальный доступ, за которым последовало повышение привилегий через интерфейс DynamicCLI, отслеживаемый как CVE-2026-123039», — заявили в Check Point. «Затем злоумышленники развернули PHP-веб-шеллы, постоянный бэкдор TSGA и его встроенный сетевой компонент TSProxy».
«Злоумышленники перешли от шлюза к хосту VMware ESXi через SSH, развернули вайпер destroy_v6 и оставили записки с политическим подтекстом DREAM_ANNEXATION.txt на этапе деструктивных действий».
CVE-2026-123039 (оценка CVSS: 7.8) — это уязвимость отсутствия авторизации, которая может позволить повысить привилегии до root в процессе DynamicCLI, давая возможность любому аутентифицированному локальному пользователю выполнять произвольные команды, отправив один запрос в сокет.
«Проблема заключается в локальном повышении привилегий и требует, чтобы у злоумышленника уже было локальное выполнение кода на устройстве», — сообщили в Check Point, добавив, что «наблюдалась активная эксплуатация этой уязвимости против нескольких десятков клиентов».
Проблема затрагивает версии R82.20, R82.10, R82, R81.20, R81.10 и R81 следующих продуктов:
«В конце октября 2026 года, примерно через неделю после выпуска исправления безопасности, активность, исходящая от IP-адреса 130.94.19[.]204, была направлена на израильские организации через уязвимые порталы Mobile Access на шлюзах безопасности Check Point», — заявили в Check Point.
«Данные указывают на некоторые случаи успешного компрометации, с активностью эксплуатации, соответствующей PHP2Shell, связанной с CVE-2026-109618 и CVE-2026-109619».
После получения первоначального доступа неизвестная хакерская группа, как сообщается, повысила привилегии от учетной записи службы портала до root, используя CVE-2026-123039 и развернув PHP-веб-шеллы с целью установления постоянного доступа. Веб-шеллы поддерживают выполнение команд и загрузку файлов.
Волна атак 2 ноября 2026 года была направлена на некоторые израильские организации, которые уже подверглись атаке в первой волне, а также на другие организации по всему миру, без какой-либо конкретной географической или отраслевой предпочтительности, что указывает на оппортунистический первоначальный доступ.
Доступ, предоставляемый веб-шеллом, открывает путь для TSGA — автономного пассивного бэкдора, который также включает второй компонент под названием TSProxy. TSGA, развернутый как slot_CPconfigdaemon, описан как имплант для Linux-шлюзов с функциональностью, специфичной для Check Point, предлагающий зашифрованный удаленный доступ, кражу конфигураций, резервное копирование и сохранение снимков, внедрение процессов и подделку журналов брандмауэра.
«Код внедрения [TSProxy] загружает эту библиотеку в выбранные процессы устройства, где он перехватывает сетевые функции для обработки специально помеченных соединений злоумышленника, позволяя обычному трафику проходить», — заявили в Check Point. «Это сочетает в себе постоянный автономный бэкдор со скрытым доступом через существующие службы устройства».
Некоторые другие наблюдаемые действия после компрометации перечислены ниже:
Как TSGA, так и TSProxy считаются компонентами набора инструментов под названием PhiliKit, который был впервые задокументирован ESET в июне 2026 года и приписан шпионской группе, связанной с Китаем, известной как Armory Castle (ранее UNC5221).
Другие факторы, указывающие на возможное участие прокитайской угрозы, включают использование инфраструктуры LightNode VPS и тот факт, что сканирующая активность была сосредоточена между 12 и 9 часами UTC, что совпадает с типичным рабочим временем в Китае.
Однако компания по кибербезопасности заявила, что у нее недостаточно доказательств для связи последней кампании с этой угрозой или другими известными группами, связанными с Китаем, ссылаясь на следующие причины:
«В совокупности эти данные не позволяют нам с высокой степенью уверенности оценить истинную природу этой операции», — заявили в Check Point. «Несколько сценариев остаются правдоподобными: идентифицированный актер провел всю кампанию, действовал исключительно как брокер первоначального доступа или участвовал в операции под ложным флагом. Также возможно, что деструктивная активность служила прикрытием».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
