Check Point avertizează că atacatorii au exploatat gateway-uri de securitate neactualizate, combinând vulnerabilitățile PHP2Shell cu o problemă de escaladare a privilegiilor. În unele incidente, compromiterea a fost urmată de ștergerea datelor de pe infrastructura VMware ESXi.
Avertizarea oficială, publicată pe 12 noiembrie, descrie activitate observată începând cu 30 octombrie și până la 4 noiembrie. Compania recomandă instalarea pachetului November Jumbo Hotfix pe serverele de management și gateway-urile de securitate, cu prioritate pentru implementările Mobile Access expuse internetului.
De la acces inițial la privilegii root
Atacatorii au folosit PHP2Shell în portalul Mobile Access pentru accesul inițial, apoi CVE-2026-123039, o vulnerabilitate locală din interfața DynamicCLI a Gaia OS, pentru privilegii root și persistență. Furnizorul spune că o corecție pentru PHP2Shell era disponibilă din 23 octombrie, înaintea atacurilor.
Analiza Check Point Research separă două valuri: primul, din 30 octombrie, a vizat organizații israeliene și a inclus acțiuni distructive în unele cazuri. Al doilea, din 2 noiembrie, a vizat mai multe țări și sectoare, fără dovezi de activitate distructivă în acel val.
Actualizare și verificarea compromiterii
În intruziunea analizată, atacatorii au ajuns de la gateway la un server ESXi și au folosit un program de ștergere a fișierelor. Cercetătorii nu atribuie campania cu un nivel ridicat de încredere unui actor cunoscut.
Administratorii găsesc în sursele oficiale indicatori pentru investigație. Check Point precizează că absența acestora nu exclude compromiterea, iar identificarea lor necesită investigație imediată.
Sursa imagine: AI
