La société Check Point a révélé que des acteurs de la menace ont exploité des vulnérabilités "PHP2Shell" pour pirater ses passerelles (Gateway) et déployer des logiciels destructeurs (Wiper) ciblant les organisations victimes. Ces attaques ont été menées en deux vagues successives ; la première a débuté le 30 octobre et a ciblé des institutions en Israël avec une activité destructrice manifeste, tandis que la deuxième vague a commencé le 2 novembre et a visé des organisations dans plusieurs pays à travers le monde sans qu'une activité destructrice similaire ne soit observée.
Mécanisme technique de l'attaque
Pour mener à bien l'intrusion, les attaquants se sont appuyés sur une série de vulnérabilités consécutives afin d'assurer un contrôle total. Le processus a débuté par l'exploitation des vulnérabilités PHP2Shell (enregistrées sous les références CVE-2026-109618 et CVE-2026-109619), qui sont des failles critiques permettant l'exécution de code à distance (RCE) et affectant toutes les versions de PHP à partir de la version 5. Bien que les correctifs nécessaires aient été publiés le 21 octobre, l'exploitation à grande échelle a commencé peu avant et peu après cette date.
Après avoir obtenu l'accès initial, les attaquants ont exploité la vulnérabilité CVE-2026-123039, une faille d'élévation de privilèges locale (Local Privilege Escalation) au sein du processus DynamicCLI, ce qui leur a permis d'obtenir des privilèges "root". Ce contrôle a permis aux attaquants d'implanter des fichiers "webshell" pour assurer leur persistance au sein du système, et d'utiliser des outils tels que TSGA et TSProxy (des variantes du framework malveillant PhiliKit) pour créer des portes dérobées et intercepter les fonctions réseau.
Expansion et activité destructrice
Lors de la première vague, les attaquants ont ciblé les passerelles Check Point Mobile Access dans des institutions israéliennes, où ils ont implanté des fichiers webshell dans des répertoires utilisés par la passerelle d'accès pour configurer les pages de connexion. Après avoir découvert les actifs internes, les attaquants se sont déplacés latéralement (Lateral Movement) jusqu'aux hôtes VMware ESXi, où ils ont exécuté le logiciel destructeur Wiper avant de laisser un message mentionnant la société Dream Security.
Qu'est-ce qui rend ces attaques déconcertantes ?
Cette campagne soulève des questions de sécurité complexes ; bien que les attaquants aient opéré pendant les heures de travail chinoises traditionnelles et utilisé une infrastructure et des logiciels associés à des groupes chinois, la nature destructrice de l'attaque utilisant le Wiper ne correspond généralement pas aux opérations cybernétiques chinoises connues. Check Point propose plusieurs scénarios possibles : soit l'entité identifiée est responsable de l'intégralité de la campagne, soit elle a agi uniquement en tant que courtier d'accès initial (Initial Access Broker), soit l'opération entière était une "opération sous faux drapeau" (False-flag operation) visant à égarer les enquêtes, soit l'activité destructrice n'était qu'une couverture pour d'autres opérations. La société a également souligné que les attaques ne montraient aucune préférence pour un secteur spécifique, ce qui suggère qu'il s'agit de tentatives d'exploitation opportunistes.