Gli attaccanti hanno sfruttato vulnerabilità PHP2Shell nei gateway Check Point, poi sono entrati nelle reti delle vittime e hanno distribuito un wiper su un host VMware ESXi, come riportato da Check Point in una copertura pubblicata da SecurityWeek il 13 novembre. Un'ondata distruttiva contro organizzazioni israeliane è iniziata il 30 ottobre, seguita il 2 novembre da un'ondata internazionale più ampia.
La campagna colpisce le organizzazioni che utilizzano gateway Check Point, con i gateway Mobile Access presi di mira nella prima ondata. Check Point non ha osservato una chiara preferenza per un particolare settore in nessuna delle due ondate e ha descritto il targeting come tentativi opportunistici di ottenere l'accesso iniziale.
PHP2Shell comprende due vulnerabilità critiche, CVE-2026-109618 e CVE-2026-109619, che consentono l'esecuzione di codice da remoto (ossia l'esecuzione di codice controllato dall'attaccante su un sistema vulnerabile) e interessano tutte le versioni di PHP a partire dalla 5. Le patch sono state rilasciate il 21 ottobre. Lo sfruttamento è iniziato alcuni giorni prima di quelle patch, seguito subito dopo da uno sfruttamento di massa.
Dall'accesso al gateway all'attività distruttiva
Secondo Check Point, gli attaccanti hanno usato PHP2Shell per entrare nei gateway, poi hanno sfruttato CVE-2026-123039, una vulnerabilità di escalation locale dei privilegi nel processo DynamicCLI. Questo secondo passaggio ha dato loro l'accesso root, il livello di controllo più alto sul sistema, consentendo di distribuire webshell PHP e mantenere l'accesso.
Negli attacchi di fine ottobre contro diverse organizzazioni israeliane, gli intrusi hanno collocato queste webshell, script che accettano comandi remoti, in una directory usata dal portale Mobile Access per costruire le pagine di login. In questo modo hanno ottenuto un mezzo per impartire comandi e consolidare la propria posizione.
Hanno poi distribuito TSGA e TSProxy per l'accesso tramite backdoor e l'intercettazione di funzioni di rete. Entrambi sono varianti del framework malware PhiliKit, già osservato in attacchi contro prodotti Ivanti da parte del gruppo collegato alla Cina UNC5221.
Dopo aver individuato asset interni, gli attaccanti si sono spostati lateralmente su un host VMware ESXi, hanno distribuito ed eseguito un wiper e hanno lasciato una nota che menzionava Dream Security. Un wiper è un malware progettato per distruggere i dati.
Indizi legati alla Cina lasciano incerta l'attribuzione
SecurityWeek ha inoltre riferito che Dream aveva collegato a hacker cinesi attacchi PHP2Shell usati per ottenere l'accesso root su firewall Palo Alto Networks. Nella campagna Check Point, gli investigatori hanno individuato malware e infrastrutture collegati alla Cina, insieme ad attività svolta durante i tipici orari lavorativi cinesi.
Check Point ha comunque affermato che l'attribuzione restava incerta, perché l'attività distruttiva non corrispondeva alle operazioni cibernetiche cinesi note. Ha considerato diverse possibilità: che l'attore identificato abbia condotto l'intera campagna, che abbia agito solo come initial-access broker fornendo l'accesso a un altro attaccante, oppure che abbia partecipato a un'operazione false flag volta a depistare gli investigatori. L'attività distruttiva potrebbe anche aver avuto la funzione di una cortina fumogena.
La seconda ondata, iniziata il 2 novembre, si è estesa ai Check Point Security Gateway di organizzazioni in più Paesi, comprese alcune entità israeliane colpite nella prima ondata. Check Point non ha osservato alcuna attività distruttiva durante quell'ondata.
