Exploitation PHP2Shell sur Check Point Gateway : campagne destructrice liée à PhiliKit/UNC5221
🔍 Contexte Check Point Research publie le 12 novembre 2026 une analyse technique détaillée d’une campagne d’exploitation active ciblant des Check Point Security Gateways non patchés exposant des portails Mobile Access. La campagne a débuté le 30 octobre 2026, environ une semaine après la disponibilité d’un correctif. 🎯 Déroulement de l’attaque La chaîne d’infection se déroule en plusieurs étapes : Accès initial : exploitation de PHP2Shell (associé à CVE-2026-109618 et CVE-2026-109619) depuis l’IP 130.94.19.204 Élévation de privilèges : exploitation de CVE-2026-123039, une vulnérabilité locale dans l’interface DynamicCLI IPC, permettant d’obtenir les droits root Persistance : déploiement de webshells PHP dans le répertoire <templates> (fichiers zz*.tpl), avec clé hardcodée zz2026 Backdoor : déploiement du malware TSGA (/tmp/CPconfigdaemon, renommé slot_CPconfigdaemon) et de sa bibliothèque embarquée TSProxy (/lib/libcpfwcommon.so) Mouvement latéral : pivot vers un hôte VMware ESXi via SSH avec le compte vpxuser, après reconnaissance réseau via le scanner gogo Destruction : exécution du wiper destroy_v6 et dépôt de notes politiques DREAM_ANNEXATION.txt en hébreu 📅 Deux vagues d’attaque 1ère vague (30 octobre 2026) : ciblage d’organisations israéliennes, avec activité destructrice confirmée sur certaines cibles 2ème vague (2 novembre 2026) : ciblage élargi à des organisations mondiales, sans activité destructrice observée 🛠️ Outils et malwares TSGA : implant Linux spécifique Check Point, offrant accès chiffré distant, vol de configuration, persistance, injection de processus et falsification de logs firewall. Communique sur le port TCP 11072 et le socket Unix /tmp/.p_sock TSProxy : bibliothèque partagée Linux embarquée dans TSGA, supportant un proxying chiffré de type SOCKS destroy_v6 : wiper Linux ELF écrasant les fichiers avec des zéros avant suppression, déposant DREAM_ANNEXATION.txt dans chaque répertoire traité gogo scanner : outil de découverte réseau interne Ces outils sont des variantes modifiées de PhiliKit, un framework malveillant documenté dans des attaques exploitant des vulnérabilités Ivanti 🔗 Attribution ESET a associé PhiliKit au groupe UNC5221 (nexus Chine). Les éléments corroborant cette piste incluent : infrastructure LightNode VPS associée à des acteurs chinois, activité de scan concentrée entre 00h00-09h00 UTC (horaires de bureau chinois), et usage du scanner gogo lié à des acteurs chinois. ...