Детали атаки
Компания Check Point раскрыла кампанию кибератак, нацеленных на ее шлюзы безопасности (Security Gateways), в ходе которой злоумышленники использовали критические уязвимости в PHP, известные как PHP2Shell (зарегистрированные под идентификаторами CVE-2026-109618 и CVE-2026-109619). Эти атаки начались 30 октября 2026 года, первоначально затрагивая организации в Израиле, а 2 ноября расширились, охватив компании в различных странах и секторах.
Механизм взлома и распространения
Злоумышленники использовали уязвимость PHP2Shell для несанкционированного доступа через портал мобильного доступа (Mobile Access portal), после чего применили новую уязвимость нулевого дня (Zero-day) с идентификатором CVE-2026-123039 для получения прав суперпользователя (Root privileges). Затем были установлены бэкдоры, такие как TSGA, которые включают сетевой компонент под названием TSProxy для маскировки команд злоумышленников внутри обычного трафика.
В атаках на израильские организации злоумышленники перемещались от скомпрометированных шлюзов к серверам VMware ESXi с помощью инструмента сетевой разведки с открытым исходным кодом gogo. На финальном этапе было развернуто вредоносное ПО для уничтожения данных под названием destroy_v6, которое многократно удаляет данные с опцией заполнения пространства нулями для предотвращения восстановления файлов.
Почему эта новость важна?
Эта атака представляет серьезную угрозу из-за своего деструктивного характера, направленного на нарушение бизнес-процессов, а не на вымогательство, что подтверждается политическими сообщениями, оставленными злоумышленниками в скомпрометированных системах. Отчет также подчеркивает опасность объединения уязвимостей приложений с уязвимостями системы (такими как уязвимость Fragnesia в ядре Linux) для получения полных прав доступа.
Рекомендации по защите
Check Point настоятельно рекомендует всем клиентам немедленно предпринять следующие шаги:
- Установить обновление November Jumbo Hotfix на все серверы управления и шлюзы безопасности, отдавая приоритет шлюзам, подключенным к интернету.
- Проверить наличие индикаторов компрометации, таких как файлы сессий, содержащие upload_progress_pwn.
- Отслеживать неожиданные процессы CPconfigdaemon или наличие необъяснимых бинарных файлов.
- Проверить журналы межсетевого экрана на предмет любой несанкционированной SSH-активности от шлюза к внутренним серверам VMware ESXi.