С 30 октября атакующие используют уязвимые шлюзы Check Point как точку входа в корпоративные сети, а затем добираются до хостов VMware ESXi и запускают программу для удаления данных. Это уже не история о «просто ещё одном RCE»: компрометация периметра может закончиться остановкой виртуальной инфраструктуры. Для российских компаний с интернет-доступом к порталу Mobile Access это повод не откладывать установку ноябрьского исправления и проверку журналов.
Кампания началась с организаций в Израиле, а 2 ноября распространилась на компании из разных стран и отраслей, сообщает BleepingComputer. Злоумышленники эксплуатировали две критические PHP-уязвимости, объединённые исследователями под названием PHP2Shell: CVE-2026-109618 и CVE-2026-109619. Обе позволяют выполнить код удалённо без аутентификации на уязвимых системах. Экстренные исправления PHP вышли 21 октября, но попытки эксплуатации, по данным Amazon Threat Intelligence, наблюдались ещё за четыре дня до этого — неприятная иллюстрация того, насколько условной бывает пауза между раскрытием проблемы и атакой.
После проникновения через Mobile Access злоумышленники применяли ещё одну, на тот момент новую уязвимость — CVE-2026-123039, получившую название DynamicCLI. Она давала повышение привилегий до root. С такими правами атакующие размещали PHP-веб-шеллы и бэкдор TSGA. В нём есть сетевой компонент TSProxy: он принимает команды, замаскированные под обычный сетевой трафик. Для защитников это означает, что отсутствие громких алертов не доказывает отсутствие присутствия в сети: вредоносный трафик может выглядеть достаточно буднично.
От шлюза — к гипервизору
В атаках против израильских организаций группа не остановилась на периметровом устройстве. Она искала внутренние VMware ESXi-хосты с помощью gogo — открытого инструмента сетевой разведки — и подключалась к ним из скомпрометированного шлюза. Финальной нагрузкой стал destroy_v6, вайпер, который рекурсивно удаляет данные в выбранном каталоге. Сначала программа пытается заполнить данные нулями, чтобы усложнить восстановление, а затем удаляет их; предусмотрен и быстрый режим без перезаписи.
Такой сценарий особенно чувствителен для инфраструктур, где ESXi содержит большинство прикладных систем: от корпоративных сервисов и баз данных до сред разработки. Шифровальщик хотя бы формально оставляет пространство для переговоров и восстановления из резервных копий. Вайпер ничего не продаёт — он стремится увеличить простой и цену восстановления. На скомпрометированных ESXi-хостах исследователи обнаружили файл DREAM_ANNEXATION.txt с политическими заявлениями, упоминанием Dream Security Ltd. и прямым отказом от переговоров о выкупе. Это может указывать на мотив саботажа, но не служит надёжной атрибуцией: подобные следы легко использовать для ложного флага.
Check Point осторожно связывает TSGA и TSProxy с фреймворком PhiliKit, который прежде встречался в атаках на устройства Ivanti. ESET ранее ассоциировала PhiliKit с китайским кластером UNC5221, однако имеющихся артефактов недостаточно, чтобы уверенно назвать организатора нынешней кампании. Во второй волне разрушительной нагрузки не зафиксировали, но последующие действия атакующих остаются неясными. Это не повод считать ноябрьскую волну менее опасной: доступ с root-правами на пограничном устройстве сам по себе даёт атакующему удобную площадку для разведки и движения по сети.
Практический приоритет для администраторов — установить ноябрьский Jumbo Hotfix на Management Server и Security Gateway, прежде всего на узлы с опубликованным в интернете Mobile Access. Обновление закрывает и PHP2Shell, и использованный в цепочке DynamicCLI. Но патч устраняет вход, а не уже оставленные следы. На ранее доступных извне шлюзах стоит искать файлы с именем upload_progress_pwn в сессиях, неожиданные процессы или бинарники CPconfigdaemon, а также необъяснимые провалы в логах межсетевого экрана. Отдельный тревожный сигнал — SSH-подключения со шлюза к внутренним ESXi-хостам, если для такой связи нет документированной операционной причины.
Эта кампания ещё раз сдвигает фокус с оценки CVSS к реальной зоне поражения. Уязвимые шлюзы Check Point опасны не только возможностью выполнить код на самом устройстве: они находятся на границе доверенной сети и уже знают маршруты к её самым ценным сегментам. Компаниям стоит проверять не только версию прошивки, но и то, какие административные каналы доступны с периметра, как изолированы гипервизоры и можно ли восстановить критичные виртуальные машины из независимых резервных копий. В атаках такого типа разница между своевременным патчем и расследованием после стирания данных измеряется не днями, а доступностью бизнеса.
