Через уязвимые шлюзы Check Point хакеры развернули вайпер на VMware ESXi

Исследователи Check Point описали кампанию, в которой уязвимые шлюзы Check Point Security Gateway использовались для проникновения в корпоративные сети и развёртывания вредоносной программы-«вайпера», уничтожающей данные на хостах VMware ESXi. Атаки начались 30 октября и первоначально были направлены на израильские организации.

Как проходила атака

Злоумышленник вёл всю цепочку самостоятельно — от первоначального доступа до бокового перемещения по сети и запуска PHP-вебшеллов. На первом этапе использовалась пара критических уязвимостей PHP под общим названием PHP2Shell (CVE-2026-109618 и CVE-2026-109619), позволяющих удалённо выполнять код без аутентификации.

• Проникновение — через портал Mobile Access шлюза Check Point.
• Повышение привилегий — через недавно раскрытую уязвимость нулевого дня CVE-2026-123039 до root-доступа.
• Закрепление — установка PHP-вебшеллов и бэкдора TSGA со встроенным сетевым компонентом TSProxy, слушающим команды в обычном трафике.
• Поиск целей — хосты VMware ESXi обнаруживались с помощью открытого сканера gogo.
• Финальный этап — развёртывание вайпера destroy_v6, рекурсивно удаляющего данные в целевой директории.

Контекст PHP2Shell

PHP выпустил экстренные патчи для обеих уязвимостей 21 октября, однако, по данным Amazon Threat Intelligence, попытки эксплуатации начались на четыре дня раньше. 26 октября CISA внесла обе проблемы в каталог Known Exploited Vulnerabilities (KEV), а позже предупредила, что атакующие комбинируют PHP2Shell с уязвимостью ядра Linux Fragnesia для получения root-прав.

След и атрибуция

На скомпрометированных хостах исследователи обнаружили файл DREAM_ANNEXATION.txt со ссылкой на компанию «Dream Security Ltd.» и политическими сообщениями. В тексте прямо отвергаются переговоры о выкупе, что указывает на цель причинить ущерб, а не заработать, — это заставляет рассматривать версию о возможной операции под ложным флагом.

Бэкдоры TSGA и TSProxy предварительно связали с фреймворком PhiliKit, ранее замеченным в атаках на устройства Ivanti и ассоциируемым ESET с китайской группировкой UNC5221. Тем не менее уверенно атрибутировать кампанию по имеющимся данным нельзя. Во второй волне (со 2 ноября) разрушительной активности не наблюдалось, но дальнейшие действия атакующих остаются неясными.

Рекомендации Check Point

Компания рекомендует установить ноябрьский Jumbo Hotfix на все Management Servers и Security Gateways, в первую очередь на устройства с обращённым в интернет порталом Mobile Access. Обновление закрывает и PHP2Shell, и использованную в атаках уязвимость повышения привилегий DynamicCLI. Администраторам также стоит проверить признаки компрометации: файлы сессий с содержимым upload_progress_pwn, неожиданные процессы или бинарники CPconfigdaemon, необъяснимые пробелы в логах межсетевого экрана и несанкционированную SSH-активность со шлюза в сторону внутренних хостов ESXi.

Источники: bleepingcomputer.com, checkpoint.com