Des attaquants ont exploité des vulnérabilités PHP2Shell dans des passerelles Check Point, puis se sont déplacés dans les réseaux des victimes et ont déployé un wiper sur un hôte VMware ESXi, selon Check Point, dans un article publié par SecurityWeek le 13 novembre. Une vague destructrice visant des organisations israéliennes a débuté le 30 octobre, suivie le 2 novembre d'une vague internationale plus large.
La campagne touche les organisations qui exploitent des passerelles Check Point, les passerelles Mobile Access ayant été ciblées lors de la première vague. Check Point n'a relevé aucune préférence nette pour un secteur particulier, ni dans l'une ni dans l'autre vague, et qualifie ces ciblages de tentatives opportunistes d'obtention d'un accès initial.
PHP2Shell regroupe deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, qui permettent l'exécution de code à distance (c'est-à-dire l'exécution de code contrôlé par l'attaquant sur un système vulnérable) et touchent toutes les versions de PHP à partir de PHP 5. Les correctifs ont été publiés le 21 octobre. L'exploitation a commencé quelques jours avant ces correctifs, et l'exploitation de masse a suivi peu de temps après.
De l'accès aux passerelles à l'activité destructrice
Check Point indique que les attaquants ont utilisé PHP2Shell pour pénétrer dans les passerelles, puis ont exploité CVE-2026-123039, une vulnérabilité locale d'élévation de privilèges dans le processus DynamicCLI. Cette seconde étape leur a donné un accès root, le niveau de contrôle le plus élevé sur le système, leur permettant de déployer des webshells PHP et de conserver l'accès.
Lors des attaques de fin octobre contre plusieurs organisations israéliennes, les intrus ont placé ces webshells, des scripts acceptant des commandes à distance, dans un répertoire utilisé par le portail Mobile Access pour construire les pages de connexion. Cela leur a permis d'envoyer des commandes et de renforcer leur position.
Ils ont ensuite déployé TSGA et TSProxy pour obtenir un accès dérobé et intercepter des fonctions réseau. Ces deux outils sont des variantes du framework de malwares PhiliKit, déjà observé dans des attaques contre des produits Ivanti menées par le groupe UNC5221, lié à la Chine.
Après avoir découvert des actifs internes, les attaquants se sont déplacés latéralement vers un hôte VMware ESXi, ont déployé et exécuté un wiper, et ont laissé une note mentionnant Dream Security. Un wiper est un logiciel malveillant conçu pour détruire des données.
Des indices liés à la Chine laissent l'attribution incertaine
SecurityWeek rapporte également que Dream a relié à des pirates chinois des attaques PHP2Shell utilisées pour obtenir un accès root sur des pare-feu Palo Alto Networks. Dans la campagne de Check Point, les enquêteurs ont identifié des logiciels malveillants et une infrastructure liés à la Chine, ainsi qu'une activité pendant les heures de travail typiques en Chine.
Check Point a toutefois indiqué que l'attribution restait incertaine, car l'activité destructrice ne correspondait pas aux opérations cyber chinoises connues. L'entreprise a envisagé plusieurs hypothèses : l'acteur identifié aurait mené toute la campagne, il n'aurait agi qu'en tant que courtier en accès initial fournissant un point d'entrée à un autre attaquant, ou il aurait participé à une opération sous fausse bannière destinée à induire les enquêteurs en erreur. La destruction pourrait aussi avoir servi d'écran de fumée.
La seconde vague, débutée le 2 novembre, s'est étendue aux Check Point Security Gateways d'organisations réparties dans plusieurs pays, dont certaines entités israéliennes ciblées lors de la première vague. Check Point n'a observé aucune activité destructrice pendant cette vague.
