Злоумышленники эксплуатировали шлюзы Check Point и установили бэкдор TSGA

В первой волне деструктивную активность обнаружили в некоторых израильских организациях, а во второй, более широкой, её не выявили. TSGA и TSProxy разделяют код и криптографическую конфигурацию с инструментами, связанными с PhiliKit и ранее ассоциировавшимися с UNC5221. Однако имеющихся доказательств недостаточно, чтобы установить, проводил ли всю операцию один и тот же актор, передал ли он возможности другому актору или использовал инструменты в операции под чужим флагом.

Эксплуатация шлюзов и закрепление

С 30 октября 2026 года злоумышленники сканировали и эксплуатировали необновлённые шлюзы безопасности Check Point Security Gateways через уязвимые порталы Mobile Access. Активность соответствовала эксплуатации PHP2Shell, связанной с CVE-2026-109618 и CVE-2026-109619. В качестве свидетельств обнаружили файлы PHP-сессий с маркером upload_progress_pwn в каталоге /opt/CPcvpn-R81.20/tmp/, а также повторяющиеся ошибки сегментации в процессах Apache/PHP портала. Во время второй волны, начавшейся 2 ноября, сканирование распространилось на организации в нескольких странах.

Получив доступ к порталу, злоумышленники повысили привилегии с учётной записи службы портала до root, воспользовавшись уязвимостью CVE-2026-123039 в интерфейсе DynamicCLI. Они разместили PHP-вебшеллы в каталоге templates портала. Расширенные вебшеллы поддерживали несколько функций:

• выполнение команд;
• выполнение PHP-кода;
• загрузку файлов с использованием жёстко закодированного ключа и сохранением файлов в /tmp/.up.tpl.

Затем злоумышленники установили бэкдор TSGA для закрепления, разместив его в файле /tmp/CPconfigdaemon. При запуске с правами root TSGA перемещается и запускается повторно под именем slot_CPconfigdaemon в каталоге, используемом для закрепления при загрузке. Бэкдор также размещает разделяемую библиотеку TSProxy в файле /lib/libcpfwcommon.so. Она внедряется в выбранные процессы устройства для скрытого зашифрованного прокси-доступа. TSGA поддерживает следующие функции:

• зашифрованное удалённое управление;
• доступ к командной строке;
• передачу файлов;
• кражу конфигураций;
• закрепление;
• подделку журналов.

Горизонтальное перемещение и уничтожение данных

Для перемещения внутри организации злоумышленники использовали сканер gogo, чтобы обнаружить внутренние системы и сервисы. Затем они установили SSH-соединение с хостом VMware ESXi, используя учётную запись vpxuser. На хосте злоумышленники развернули и запустили утилиту уничтожения данных destroy_v6. Она рекурсивно удаляет файлы, при необходимости предварительно перезаписывая их, и создаёт файлы с текстом DREAM_ANNEXATION.txt.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.