Check Point ha revelado que actores de amenazas explotaron vulnerabilidades "PHP2Shell" para comprometer sus dispositivos de puerta de enlace (Gateway) y desplegar software destructivo (Wiper) contra las organizaciones víctimas. Estos ataques se llevaron a cabo en dos oleadas consecutivas; la primera comenzó el 30 de octubre y tuvo como objetivo instituciones en Israel con una clara actividad destructiva, mientras que la segunda oleada comenzó el 2 de noviembre y afectó a organizaciones en múltiples países alrededor del mundo sin que se observara una actividad destructiva similar.
Mecanismo técnico del ataque
Los atacantes se basaron en una serie de vulnerabilidades consecutivas para asegurar el control total. El proceso comenzó con la explotación de las vulnerabilidades PHP2Shell (registradas bajo los códigos CVE-2026-109618 y CVE-2026-109619), las cuales son vulnerabilidades críticas que permiten la ejecución remota de código (RCE) y afectan a todas las versiones de PHP desde la 5 en adelante. A pesar de que los parches necesarios fueron lanzados el 21 de octubre, la explotación generalizada comenzó poco antes y después de esa fecha.
Tras lograr el acceso inicial, los atacantes procedieron a explotar la vulnerabilidad CVE-2026-123039, una vulnerabilidad de escalada de privilegios local (Local Privilege Escalation) dentro del proceso DynamicCLI, lo que les permitió obtener privilegios de "root". Este control permitió a los atacantes plantar archivos "webshell" para asegurar su persistencia dentro del sistema y utilizar herramientas como TSGA y TSProxy (variantes del marco malicioso PhiliKit) para establecer puertas traseras e interceptar funciones de red.
Expansión y actividad destructiva
En la primera oleada, los atacantes apuntaron a las puertas de enlace de Check Point Mobile Access en instituciones israelíes, donde plantaron archivos webshell en directorios utilizados por la puerta de enlace para configurar las páginas de inicio de sesión. Tras descubrir los activos internos, los atacantes se movieron lateralmente (Lateral Movement) hasta llegar a hosts VMware ESXi, donde ejecutaron el software destructivo Wiper antes de dejar un mensaje que hacía referencia a la empresa Dream Security.
¿Qué causa desconcierto en estos ataques?
Esta campaña plantea complejas interrogantes de seguridad; aunque los atacantes operaron durante el horario laboral tradicional chino y utilizaron infraestructura y software vinculados a grupos chinos, la naturaleza destructiva del ataque mediante el uso de Wiper no suele alinearse con las operaciones cibernéticas chinas conocidas. Check Point plantea varios escenarios posibles: que el actor identificado sea responsable de toda la campaña, que solo haya actuado como un intermediario de acceso inicial (Initial Access Broker), que toda la operación haya sido una "operación de falsa bandera" (False-flag operation) destinada a engañar a las investigaciones, o que la actividad destructiva fuera simplemente una tapadera para otras operaciones. La empresa también señaló que los ataques no mostraron una preferencia por un sector específico, lo que sugiere que se trata de intentos de explotación oportunistas.