Das Unternehmen Check Point hat enthüllt, dass Bedrohungsakteure PHP2Shell-Schwachstellen ausgenutzt haben, um in ihre Gateway-Geräte einzudringen und Wiper-Malware einzusetzen, die auf die betroffenen Organisationen abzielte. Diese Angriffe wurden in zwei aufeinanderfolgenden Wellen durchgeführt: Die erste begann am 30. Oktober und zielte auf Organisationen in Israel mit erkennbarer destruktiver Aktivität ab, während die zweite Welle am 2. November begann und Organisationen in verschiedenen Ländern weltweit betraf, ohne dass eine vergleichbare destruktive Aktivität festgestellt wurde.
Der technische Mechanismus des Angriffs
Die Angreifer stützten sich bei dem Einbruch auf eine Kette aufeinanderfolgender Schwachstellen, um die vollständige Kontrolle zu erlangen. Der Prozess begann mit der Ausnutzung der PHP2Shell-Schwachstellen (registriert unter den Kennungen CVE-2026-109618 und CVE-2026-109619), bei denen es sich um kritische Schwachstellen handelt, die eine Remote Code Execution (RCE) ermöglichen und alle PHP-Versionen ab Version 5 betreffen. Obwohl die notwendigen Patches am 21. Oktober veröffentlicht wurden, begann die breite Ausnutzung kurz davor und danach.
Nachdem der erste Zugriff erreicht war, gingen die Angreifer dazu über, die Schwachstelle CVE-2026-123039 auszunutzen, eine Schwachstelle zur lokalen Privilegieneskalation (Local Privilege Escalation) innerhalb des DynamicCLI-Prozesses, die es ihnen ermöglichte, Root-Rechte zu erlangen. Diese Kontrolle ermöglichte es den Angreifern, Webshell-Dateien zu platzieren, um den Verbleib im System zu sichern, und Tools wie TSGA und TSProxy (Varianten des schädlichen Frameworks PhiliKit) zu verwenden, um Hintertüren zu schaffen und Netzwerkfunktionen abzufangen.
Ausweitung und destruktive Aktivität
In der ersten Welle zielten die Angreifer auf Check Point Mobile Access Gateways in israelischen Organisationen ab, wo sie Webshell-Dateien in Verzeichnissen platzierten, die vom Zugangs-Gateway zur Konfiguration der Anmeldeseiten verwendet werden. Nach der Entdeckung interner Assets bewegten sich die Angreifer lateral (Lateral Movement) bis hin zu VMware ESXi-Hosts, wo sie die destruktive Wiper-Software ausführten, bevor sie eine Nachricht hinterließen, die auf das Unternehmen Dream Security verwies.
Was ist das Rätselhafte an diesen Angriffen?
Diese Kampagne wirft komplexe Sicherheitsfragen auf. Obwohl die Angreifer während der traditionellen chinesischen Geschäftszeiten operierten und Infrastruktur sowie Software verwendeten, die mit chinesischen Gruppen in Verbindung stehen, entspricht die destruktive Natur des Angriffs mittels Wiper normalerweise nicht den bekannten chinesischen Cyberoperationen. Check Point schlägt mehrere mögliche Szenarien vor: Entweder ist die identifizierte Akteursgruppe für die gesamte Kampagne verantwortlich, oder sie fungierte lediglich als Vermittler für den Erstzugriff (Initial Access Broker), oder die gesamte Operation war eine False-Flag-Operation, die darauf abzielte, Ermittlungen in die Irre zu führen, oder die destruktive Aktivität diente lediglich als Deckmantel für andere Operationen. Das Unternehmen wies zudem darauf hin, dass die Angriffe keine Bevorzugung eines bestimmten Sektors zeigten, was darauf hindeutet, dass es sich um opportunistische Ausnutzungsversuche handelte.