🔍 Contexte

Check Point Research publie le 12 novembre 2026 une analyse technique détaillée d’une campagne d’exploitation active ciblant des Check Point Security Gateways non patchés exposant des portails Mobile Access. La campagne a débuté le 30 octobre 2026, environ une semaine après la disponibilité d’un correctif.

🎯 Déroulement de l’attaque

La chaîne d’infection se déroule en plusieurs étapes :

  • Accès initial : exploitation de PHP2Shell (associé à CVE-2026-109618 et CVE-2026-109619) depuis l’IP 130.94.19.204
  • Élévation de privilèges : exploitation de CVE-2026-123039, une vulnérabilité locale dans l’interface DynamicCLI IPC, permettant d’obtenir les droits root
  • Persistance : déploiement de webshells PHP dans le répertoire <templates> (fichiers zz*.tpl), avec clé hardcodée zz2026
  • Backdoor : déploiement du malware TSGA (/tmp/CPconfigdaemon, renommé slot_CPconfigdaemon) et de sa bibliothèque embarquée TSProxy (/lib/libcpfwcommon.so)
  • Mouvement latéral : pivot vers un hôte VMware ESXi via SSH avec le compte vpxuser, après reconnaissance réseau via le scanner gogo
  • Destruction : exécution du wiper destroy_v6 et dépôt de notes politiques DREAM_ANNEXATION.txt en hébreu

📅 Deux vagues d’attaque

  • 1ère vague (30 octobre 2026) : ciblage d’organisations israéliennes, avec activité destructrice confirmée sur certaines cibles
  • 2ème vague (2 novembre 2026) : ciblage élargi à des organisations mondiales, sans activité destructrice observée

🛠️ Outils et malwares

  • TSGA : implant Linux spécifique Check Point, offrant accès chiffré distant, vol de configuration, persistance, injection de processus et falsification de logs firewall. Communique sur le port TCP 11072 et le socket Unix /tmp/.p_sock
  • TSProxy : bibliothèque partagée Linux embarquée dans TSGA, supportant un proxying chiffré de type SOCKS
  • destroy_v6 : wiper Linux ELF écrasant les fichiers avec des zéros avant suppression, déposant DREAM_ANNEXATION.txt dans chaque répertoire traité
  • gogo scanner : outil de découverte réseau interne
  • Ces outils sont des variantes modifiées de PhiliKit, un framework malveillant documenté dans des attaques exploitant des vulnérabilités Ivanti

🔗 Attribution

ESET a associé PhiliKit au groupe UNC5221 (nexus Chine). Les éléments corroborant cette piste incluent : infrastructure LightNode VPS associée à des acteurs chinois, activité de scan concentrée entre 00h00-09h00 UTC (horaires de bureau chinois), et usage du scanner gogo lié à des acteurs chinois.

Cependant, plusieurs éléments ne s’alignent pas avec les motivations connues d’UNC5221 : opération destructrice, ciblage d’Israël, note en hébreu référençant le conflit israélo-palestinien. Check Point Research maintient que plusieurs scénarios restent plausibles : acteur unique, courtier d’accès initial, ou opération sous fausse bannière.

📄 Type d’article

Publication de recherche technique de Check Point Research, visant à documenter la chaîne d’infection complète, les outils déployés, les IOCs et les éléments d’attribution d’une campagne d’exploitation active.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1543 — Create or Modify System Process (Persistence)
  • T1574.006 — Hijack Execution Flow: Dynamic Linker Hijacking (Defense Evasion)
  • T1046 — Network Service Discovery (Discovery)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1485 — Data Destruction (Impact)
  • T1055 — Process Injection (Defense Evasion)
  • T1090 — Proxy (Command and Control)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1083 — File and Directory Discovery (Discovery)

IOC

  • IPv4 : 130.94.19.204 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 130.94.19.168 — AbuseIPDB · VT · ThreatFox
  • SHA256 : edb3e92eb7bda7413a09edcc4b1ba3cbed4bcdf42808a8abce63b6e4c3fda2b3 — VT · MalwareBazaar
  • SHA256 : 4171b521fa6441382aa2fa014a08e18ff9a6e0ab6096c9144072bf46b37a2ec8 — VT · MalwareBazaar
  • SHA256 : d7549671c7189979f0624ec52dad9ea6a707d23146e3585ab8f8c4720eca0c63 — VT · MalwareBazaar
  • SHA256 : 3b51080a909023f7d484e2443740b572307ce0054eb9e32d98f0a06bfcd2db90 — VT · MalwareBazaar
  • SHA256 : c7d9477309fac6c638a1128442056a242de086996add8cb49cd6496c36003237 — VT · MalwareBazaar
  • SHA256 : 0522937c0c0337be54fe25493539e5f5f8ceb9742c980aaff1cfc9515f3a96f7 — VT · MalwareBazaar
  • SHA256 : ee16e1695711b9d60c62925fcfb2fe1a29c18ae26565bc05410a14e16d2a39d7 — VT · MalwareBazaar
  • SHA256 : fb1a6235eb6bce8c9ec8cd8bb85f17c9c2bde8ecb45b7a243a30ceadf26654da — VT · MalwareBazaar
  • CVEs : CVE-2026-109618 — NVD · CIRCL
  • CVEs : CVE-2026-109619 — NVD · CIRCL
  • CVEs : CVE-2026-123039 — NVD · CIRCL
  • Fichiers : CPconfigdaemon
  • Fichiers : slot_CPconfigdaemon
  • Fichiers : libcpfwcommon.so
  • Fichiers : libdssafe.so
  • Fichiers : destroy_v6
  • Fichiers : DREAM_ANNEXATION.txt
  • Fichiers : challenge_render.tpl
  • Fichiers : philistine
  • Chemins : /opt/CPcvpn-R81.20/tmp/
  • Chemins : /tmp/CPconfigdaemon
  • Chemins : /tmp/.bd.log
  • Chemins : /lib/libcpfwcommon.so
  • Chemins : /tmp/.up.tpl
  • Chemins : /tmp/.p_sock
  • Chemins : /tmp/des

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • PHP2Shell (tool)
  • TSGA (backdoor)
  • TSProxy (backdoor)
  • PhiliKit (framework)
  • destroy_v6 (other)
  • gogo (tool)
  • Tiny SHell (backdoor)

🟢 Indice de vérification factuelle : 97/100 (haute)

  • ✅ research.checkpoint.com — source reconnue (liste interne) (20pts)
  • ✅ 12252 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 28 IOCs dont des hashes (15pts)
  • ✅ 2/5 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, VirusTotal) (12pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : UNC5221 (5pts)
  • ✅ 3/3 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 4171b521fa644138… (sha256) → VT (22/76 détections)
  • d7549671c7189979… (sha256) → VT (21/76 détections)

🔗 Source originale : https://research.checkpoint.com/2026/php2shell-exploitation-on-check-point-gateway/#:~:text=IOCs