Атаки через PHP2Shell на шлюзи Check Point стерли дані на серверах VMware ESXi

Зловмисники використали вразливі шлюзи безпеки Check Point для атак через PHP2Shell і розгорнули шкідливе програмне забезпечення для знищення даних на хостах VMware ESXi. Перша хвиля атак, за даними Check Point, почалася 30 жовтня та спершу була спрямована проти ізраїльських організацій.

Доступ через критичні вразливості

Як повідомляє BleepingComputer, PHP2Shell — це назва двох критичних вразливостей PHP, зареєстрованих як CVE-2026-109618 і CVE-2026-109619. Вони дають змогу віддалено виконувати код на вразливих системах без автентифікації. Екстрені виправлення для цих проблем PHP випустив 21 жовтня, однак Amazon Threat Intelligence зафіксував спроби експлуатації ще за чотири дні до цього. 26 жовтня Агентство США з кібербезпеки та захисту інфраструктури CISA внесло обидві вразливості до каталогу Known Exploited Vulnerabilities.

За інформацією Check Point, атакувальник отримував доступ через портал Mobile Access на шлюзах, після чого використовував нововиявлену вразливість нульового дня CVE-2026-123039 для підвищення привілеїв до рівня root. Надалі на скомпрометованих пристроях встановлювали PHP-вебшелли та бекдор TSGA. Він містить мережевий компонент TSProxy, який приймає команди зловмисників, приховані у звичайному мережевому трафіку.

Знищення даних на ESXi

В атаках проти ізраїльських організацій зловмисники переходили зі шлюзів на VMware ESXi-хости, які знаходили за допомогою інструмента мережевої розвідки gogo. На завершальному етапі вони застосовували вайпер destroy v6: програма рекурсивно видаляє дані у цільовому каталозі та спочатку намагається перезаписати їх нулями, ускладнюючи відновлення. Також у неї є швидкий режим без перезапису.

На одному з ESXi-хостів дослідники виявили файл DREAM ANNEXATION.txt із політичними повідомленнями та згадкою Dream Security Ltd. У записці прямо відкидалися переговори щодо викупу, що, за оцінкою дослідників, вказувало на мету завдати шкоди й порушити роботу систем. Check Point обережно пов'язав TSGA і TSProxy з фреймворком PhiliKit, який раніше фіксували в атаках на пристрої Ivanti та який ESET асоціював із китайським кластером UNC5221. Водночас компанія наголосила, що наявних доказів недостатньо для впевненої атрибуції атак.

Друга хвиля, що почалася 2 листопада та зачепила компанії в кількох країнах і секторах, не містила руйнівної активності. Check Point радить інсталювати листопадове оновлення Jumbo Hotfix на всі сервери керування та шлюзи безпеки, насамперед із доступними з інтернету порталами Mobile Access, а також перевірити раніше відкриті шлюзи на ознаки компрометації.