Los atacantes explotaron vulnerabilidades de PHP2Shell en puertas de enlace de Check Point, luego se movieron a las redes de las víctimas y desplegaron un wiper en un host VMware ESXi, según informó Check Point en la cobertura publicada por SecurityWeek el 13 de noviembre. Una ola destructiva dirigida a organizaciones israelíes comenzó el 30 de octubre, seguida de una ola internacional más amplia el 2 de noviembre.
La campaña afecta a organizaciones que utilizan puertas de enlace de Check Point, y en la primera ola se atacaron las puertas de enlace Mobile Access. Check Point no observó una preferencia clara por ningún sector en ninguna de las dos olas y describió los objetivos como intentos oportunistas de obtener acceso inicial.
PHP2Shell comprende dos vulnerabilidades críticas, CVE-2026-109618 y CVE-2026-109619, que permiten la ejecución remota de código, es decir, la ejecución de código controlado por el atacante en un sistema vulnerable, y afectan a todas las versiones de PHP desde PHP 5 en adelante. Los parches se publicaron el 21 de octubre. La explotación comenzó días antes de esos parches, y poco después se produjo una explotación masiva.
Del acceso a las puertas de enlace a la actividad destructiva
Check Point explicó que los atacantes usaron PHP2Shell para entrar en las puertas de enlace y, después, explotaron CVE-2026-123039, una vulnerabilidad de escalada local de privilegios en el proceso DynamicCLI. Ese segundo paso les dio acceso root, el nivel de control más alto del sistema, lo que les permitió desplegar webshells PHP y mantener el acceso.
En los ataques de finales de octubre contra varias organizaciones israelíes, los intrusos colocaron esas webshells, es decir, scripts que aceptan comandos remotos, en un directorio que el portal Mobile Access utiliza para construir las páginas de inicio de sesión. Así obtuvieron una forma de emitir comandos y reforzar su presencia en los sistemas.
Después desplegaron TSGA y TSProxy para obtener acceso de puerta trasera e interceptar funciones de red. Ambos son variantes del framework de malware PhiliKit, observado previamente en ataques contra productos de Ivanti por el grupo UNC5221, vinculado a China.
Tras descubrir activos internos, los atacantes se movieron lateralmente hasta un host VMware ESXi, desplegaron y ejecutaron un wiper y dejaron una nota en la que mencionaban a Dream Security. Un wiper es un malware diseñado para destruir datos.
Pistas vinculadas a China dejan la atribución incierta
SecurityWeek también informó de que Dream había vinculado con hackers chinos ataques PHP2Shell utilizados para obtener acceso root en cortafuegos de Palo Alto Networks. En la campaña de Check Point, los investigadores identificaron malware e infraestructura vinculados a China, junto con actividad durante horarios laborales chinos habituales.
Sin embargo, Check Point afirmó que la atribución seguía siendo incierta, porque la actividad destructiva no encajaba con las operaciones cibernéticas chinas conocidas. Consideró varias posibilidades: que el actor identificado hubiera llevado a cabo toda la campaña, que actuara únicamente como intermediario de acceso inicial proporcionando la entrada a otro atacante, o que participara en una operación de bandera falsa destinada a confundir a los investigadores. La destrucción también podría haber servido como cortina de humo.
La segunda ola, que comenzó el 2 de noviembre, se extendió a puertas de enlace de seguridad de Check Point en organizaciones de varios países, incluidas algunas entidades israelíes atacadas en la primera ola. Check Point no observó actividad destructiva durante esa ola.
