A Check Point revelou que agentes de ameaças exploraram vulnerabilidades "PHP2Shell" para invadir seus dispositivos de gateway e implantar softwares destrutivos (Wiper) visando as organizações vítimas. Esses ataques foram realizados em duas ondas sucessivas; a primeira começou em 30 de outubro e visou organizações em Israel com atividade destrutiva clara, enquanto a segunda onda começou em 2 de novembro e visou organizações em vários países ao redor do mundo sem que fosse observada atividade destrutiva semelhante.
Mecanismo técnico do ataque
Os atacantes basearam o processo de invasão em uma série de vulnerabilidades sequenciais para garantir o controle total. O processo começou com a exploração das vulnerabilidades PHP2Shell (registradas sob os códigos CVE-2026-109618 e CVE-2026-109619), que são vulnerabilidades críticas que permitem a execução remota de código (RCE) e afetam todas as versões do PHP a partir da versão 5. Embora as correções necessárias tenham sido lançadas em 21 de outubro, a exploração em larga escala começou pouco antes e depois disso.
Após obter o acesso inicial, os atacantes passaram a explorar a vulnerabilidade CVE-2026-123039, uma vulnerabilidade de escalonamento de privilégios local (Local Privilege Escalation) dentro do processo DynamicCLI, o que lhes permitiu obter privilégios de "root". Esse controle permitiu aos atacantes plantar arquivos "webshell" para garantir a persistência dentro do sistema e usar ferramentas como TSGA e TSProxy (que são variantes da estrutura maliciosa PhiliKit) para criar backdoors e interceptar funções de rede.
Expansão e atividade destrutiva
Na primeira onda, os atacantes visaram gateways de Acesso Móvel da Check Point em organizações israelenses, onde plantaram arquivos webshell em diretórios usados pelo gateway de acesso para configurar páginas de login. Após descobrir os ativos internos, os atacantes moveram-se lateralmente (Lateral Movement) até hosts VMware ESXi, onde executaram o software destrutivo Wiper antes de deixar uma mensagem mencionando a empresa Dream Security.
O que causa perplexidade nestes ataques?
Esta campanha levanta questões de segurança complexas; embora os atacantes tenham operado durante o horário comercial chinês tradicional e usado infraestrutura e softwares associados a grupos chineses, a natureza destrutiva do ataque usando o Wiper geralmente não se alinha com as operações cibernéticas chinesas conhecidas. A Check Point apresenta vários cenários possíveis: ou o grupo identificado é responsável por toda a campanha, ou atuou apenas como um corretor de acesso inicial (Initial Access Broker), ou toda a operação foi uma "operação de falsa bandeira" (False-flag operation) destinada a enganar as investigações, ou a atividade destrutiva foi apenas uma cobertura para outras operações. A empresa também observou que os ataques não mostraram preferência por um setor específico, o que indica que se tratam de tentativas de exploração oportunistas.