Details zum Angriff
Check Point hat eine Cyberangriffskampagne aufgedeckt, die auf seine Security Gateways abzielte. Die Angreifer nutzten kritische PHP-Schwachstellen aus, die als PHP2Shell bekannt sind (registriert unter den Kennungen CVE-2026-109618 und CVE-2026-109619). Diese Angriffe begannen am 30. Oktober 2026 und zielten in der ersten Phase auf Organisationen in Israel ab, bevor sie sich am 2. November auf Unternehmen in verschiedenen Ländern und Sektoren ausweiteten.
Mechanismus des Eindringens und der Verbreitung
Die Angreifer nutzten die PHP2Shell-Schwachstelle für den unbefugten Zugriff über das Mobile Access-Portal und verwendeten anschließend eine neue Zero-Day-Schwachstelle mit der Kennung CVE-2026-123039, um Root-Rechte zu erlangen. Danach wurden Backdoors wie TSGA installiert, die eine Netzwerkkomponente namens TSProxy enthalten, um die Befehle der Angreifer im normalen Datenverkehr zu verbergen.
Bei den Angriffen auf israelische Organisationen bewegten sich die Angreifer von den kompromittierten Gateways zu VMware ESXi-Servern unter Verwendung des Open-Source-Netzwerk-Reconnaissance-Tools gogo. In der Endphase wurde eine Datenlösch-Malware namens destroy_v6 eingesetzt, die Daten wiederholt löscht und die Option bietet, Speicherbereiche mit Nullen zu überschreiben, um die Wiederherstellung von Dateien zu verhindern.
Warum ist diese Nachricht wichtig?
Dieser Angriff stellt aufgrund seiner zerstörerischen Natur, die darauf abzielt, den Geschäftsbetrieb zu stören, anstatt Lösegelder zu fordern, ein erhebliches Risiko dar, was durch politische Botschaften bestätigt wurde, die die Angreifer auf den kompromittierten Systemen hinterließen. Der Bericht unterstreicht zudem die Gefahr der Kombination von Anwendungsschwachstellen mit Systemschwachstellen (wie der Fragnesia-Schwachstelle im Linux-Kernel), um vollständige Zugriffsrechte zu erlangen.
Schutzempfehlungen
Check Point empfiehlt allen Kunden, unverzüglich folgende Maßnahmen zu ergreifen:
- Installation des November Jumbo Hotfix auf allen Management-Servern und Security Gateways, wobei internetseitigen Gateways Priorität eingeräumt werden sollte.
- Suche nach Indikatoren für eine Kompromittierung, wie z. B. Sitzungsdateien, die upload_progress_pwn enthalten.
- Überwachung unerwarteter Prozesse von CPconfigdaemon oder das Vorhandensein nicht identifizierter Binärdateien.
- Überprüfung der Firewall-Protokolle auf unbefugte SSH-Aktivitäten vom Gateway zu internen VMware ESXi-Servern.