Компания Check Point сообщила, что злоумышленники использовали уязвимости PHP2Shell для взлома их шлюзов (Gateway) и развертывания деструктивного программного обеспечения (Wiper), нацеленного на организации-жертвы. Атаки были проведены двумя последовательными волнами: первая началась 30 октября и была направлена на организации в Израиле с явной деструктивной активностью, в то время как вторая волна началась 2 ноября и затронула организации в различных странах мира без фиксации аналогичной деструктивной активности.
Технический механизм атаки
В процессе взлома злоумышленники использовали цепочку последовательных уязвимостей для обеспечения полного контроля. Операция началась с эксплуатации уязвимостей PHP2Shell (зарегистрированных под кодами CVE-2026-109618 и CVE-2026-109619) — критических уязвимостей, позволяющих выполнять удаленное выполнение кода (RCE) и затрагивающих все версии PHP, начиная с 5-й. Несмотря на выпуск необходимых исправлений 21 октября, масштабная эксплуатация началась незадолго до и после этой даты.
После получения первоначального доступа злоумышленники перешли к эксплуатации уязвимости CVE-2026-123039, связанной с локальным повышением привилегий (Local Privilege Escalation) в процессе DynamicCLI, что позволило им получить права root. Этот контроль позволил злоумышленникам внедрить файлы webshell для обеспечения присутствия в системе, а также использовать такие инструменты, как TSGA и TSProxy (варианты вредоносного фреймворка PhiliKit) для создания бэкдоров и перехвата сетевых функций.
Расширение и деструктивная активность
В ходе первой волны злоумышленники атаковали шлюзы Check Point Mobile Access в израильских организациях, внедряя файлы webshell в каталоги, используемые шлюзом доступа для настройки страниц входа. После обнаружения внутренних активов злоумышленники перемещались горизонтально (Lateral Movement) к хостам VMware ESXi, где запускали деструктивное ПО Wiper, прежде чем оставить сообщение, указывающее на компанию Dream Security.
Что вызывает недоумение в этих атаках?
Эта кампания вызывает сложные вопросы безопасности. Несмотря на то, что злоумышленники работали в традиционные рабочие часы Китая и использовали инфраструктуру и программное обеспечение, связанные с китайскими группировками, деструктивный характер атаки с использованием Wiper обычно не соответствует известным китайским кибероперациям. Компания Check Point выдвигает несколько возможных сценариев: либо указанная сторона несет ответственность за всю кампанию, либо она действовала только как брокер первоначального доступа (Initial Access Broker), либо вся операция была «операцией под фальшивым флагом» (False-flag operation), направленной на введение следствия в заблуждение, либо деструктивная активность была лишь прикрытием для других операций. Компания также отметила, что атаки не демонстрировали предпочтения к какому-либо конкретному сектору, что указывает на оппортунистический характер попыток эксплуатации.