Angreifer nutzten PHP2Shell-Schwachstellen in Check-Point-Gateways aus, drangen dann in die Netzwerke der Opfer ein und setzten auf einem VMware-ESXi-Host einen Wiper ein. Das berichtete Check Point in einer am 13. November veröffentlichten Meldung, über die SecurityWeek berichtete. Eine zerstörerische Welle gegen israelische Organisationen begann am 30. Oktober, gefolgt von einer breiteren internationalen Welle am 2. November.
Die Kampagne betrifft Organisationen, die Check-Point-Gateways einsetzen. In der ersten Welle waren Mobile-Access-Gateways das Ziel. Check Point beobachtete in keiner der beiden Wellen eine klare Präferenz für einen bestimmten Sektor. Das Targeting beschrieb das Unternehmen als opportunistische Versuche, einen initialen Zugang zu erlangen.
PHP2Shell umfasst zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die Remote Code Execution ermöglichen, also das Ausführen von Code, den der Angreifer kontrolliert, auf einem verwundbaren System. Sie betreffen alle PHP-Versionen ab PHP 5. Patches wurden am 21. Oktober veröffentlicht. Die Ausnutzung begann einige Tage vor diesen Patches, kurz darauf folgte die Massenausnutzung.
Vom Gateway-Zugriff zu destruktiven Aktivitäten
Check Point erklärte, die Angreifer hätten PHP2Shell genutzt, um in die Gateways einzudringen. Danach hätten sie CVE-2026-123039 ausgenutzt, eine lokale Schwachstelle zur Rechteerweiterung im Prozess DynamicCLI. Dieser zweite Schritt verschaffte ihnen Root-Zugriff, die höchste Kontrollstufe auf dem System. So konnten sie PHP-Webshells einsetzen und ihren Zugang aufrechterhalten.
Bei den Angriffen Ende Oktober auf mehrere israelische Organisationen legten die Eindringlinge diese Webshells – Skripte, die Befehle aus der Ferne annehmen – in einem Verzeichnis ab, das das Mobile-Access-Portal zum Erstellen von Login-Seiten nutzt. So konnten sie Befehle absetzen und ihre Präsenz im System festigen.
Anschließend setzten sie TSGA und TSProxy für Backdoor-Zugang und das Abfangen von Netzwerkfunktionen ein. Beide sind Varianten des Malware-Frameworks PhiliKit, das zuvor in Angriffen auf Ivanti-Produkte durch die China zugeordnete Gruppe UNC5221 aufgetaucht war.
Nachdem die Angreifer interne Assets entdeckt hatten, bewegten sie sich lateral zu einem VMware-ESXi-Host, installierten und führten einen Wiper aus und hinterließen eine Notiz, in der Dream Security erwähnt wurde. Ein Wiper ist Schadsoftware, die darauf ausgelegt ist, Daten zu zerstören.
China-Bezüge lassen die Zuordnung offen
SecurityWeek berichtete außerdem, Dream habe PHP2Shell-Angriffe, mit denen Root-Zugriff auf Firewalls von Palo Alto Networks erlangt wurde, chinesischen Hackern zugeordnet. In der Kampagne von Check Point identifizierten Ermittler mit China in Verbindung stehende Malware und Infrastruktur sowie Aktivitäten während typischer chinesischer Arbeitszeiten.
Dennoch erklärte Check Point, die Zuordnung bleibe unsicher, weil die destruktiven Aktivitäten nicht zu bekannten chinesischen Cyberoperationen passten. Das Unternehmen zog mehrere Möglichkeiten in Betracht: Der identifizierte Akteur habe die gesamte Kampagne durchgeführt, er sei lediglich als Initial-Access-Broker aufgetreten, der einem anderen Angreifer den Einstieg verschaffte, oder er habe an einer False-Flag-Operation teilgenommen, die Ermittler täuschen sollte. Die Zerstörung könnte zudem als Nebelkerze gedient haben.
Die zweite Welle, die am 2. November begann, weitete sich auf Check-Point-Security-Gateways bei Organisationen in mehreren Ländern aus, darunter einige israelische Einrichtungen, die bereits in der ersten Welle angegriffen worden waren. Während dieser Welle beobachtete Check Point keine destruktiven Aktivitäten.
