https://cyberveille.ch/tags/tiny-shell/ Recent content in Tiny SHell on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Fri, 13 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-13-exploitation-php2shell-sur-check-point-gateway-campagne-destructrice-liee-a-philikit-unc5221/ Fri, 13 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-13-exploitation-php2shell-sur-check-point-gateway-campagne-destructrice-liee-a-philikit-unc5221/ <h2 id="-contexte">🔍 Contexte</h2> <p>Check Point Research publie le 12 novembre 2026 une analyse technique détaillée d&rsquo;une campagne d&rsquo;exploitation active ciblant des <strong>Check Point Security Gateways</strong> non patchés exposant des portails <strong>Mobile Access</strong>. La campagne a débuté le 30 octobre 2026, environ une semaine après la disponibilité d&rsquo;un correctif.</p> <h2 id="-déroulement-de-lattaque">🎯 Déroulement de l&rsquo;attaque</h2> <p>La chaîne d&rsquo;infection se déroule en plusieurs étapes :</p> <ul> <li><strong>Accès initial</strong> : exploitation de <strong>PHP2Shell</strong> (associé à <strong>CVE-2026-109618</strong> et <strong>CVE-2026-109619</strong>) depuis l&rsquo;IP <code>130.94.19.204</code></li> <li><strong>Élévation de privilèges</strong> : exploitation de <strong>CVE-2026-123039</strong>, une vulnérabilité locale dans l&rsquo;interface <strong>DynamicCLI IPC</strong>, permettant d&rsquo;obtenir les droits root</li> <li><strong>Persistance</strong> : déploiement de <strong>webshells PHP</strong> dans le répertoire <code>&lt;templates&gt;</code> (fichiers <code>zz*.tpl</code>), avec clé hardcodée <code>zz2026</code></li> <li><strong>Backdoor</strong> : déploiement du malware <strong>TSGA</strong> (<code>/tmp/CPconfigdaemon</code>, renommé <code>slot_CPconfigdaemon</code>) et de sa bibliothèque embarquée <strong>TSProxy</strong> (<code>/lib/libcpfwcommon.so</code>)</li> <li><strong>Mouvement latéral</strong> : pivot vers un hôte <strong>VMware ESXi</strong> via SSH avec le compte <code>vpxuser</code>, après reconnaissance réseau via le scanner <strong>gogo</strong></li> <li><strong>Destruction</strong> : exécution du wiper <strong>destroy_v6</strong> et dépôt de notes politiques <strong>DREAM_ANNEXATION.txt</strong> en hébreu</li> </ul> <h2 id="-deux-vagues-dattaque">📅 Deux vagues d&rsquo;attaque</h2> <ul> <li><strong>1ère vague (30 octobre 2026)</strong> : ciblage d&rsquo;organisations israéliennes, avec activité destructrice confirmée sur certaines cibles</li> <li><strong>2ème vague (2 novembre 2026)</strong> : ciblage élargi à des organisations mondiales, sans activité destructrice observée</li> </ul> <h2 id="-outils-et-malwares">🛠️ Outils et malwares</h2> <ul> <li><strong>TSGA</strong> : implant Linux spécifique Check Point, offrant accès chiffré distant, vol de configuration, persistance, injection de processus et falsification de logs firewall. Communique sur le port TCP <strong>11072</strong> et le socket Unix <code>/tmp/.p_sock</code></li> <li><strong>TSProxy</strong> : bibliothèque partagée Linux embarquée dans TSGA, supportant un proxying chiffré de type SOCKS</li> <li><strong>destroy_v6</strong> : wiper Linux ELF écrasant les fichiers avec des zéros avant suppression, déposant <code>DREAM_ANNEXATION.txt</code> dans chaque répertoire traité</li> <li><strong>gogo scanner</strong> : outil de découverte réseau interne</li> <li>Ces outils sont des <strong>variantes modifiées de PhiliKit</strong>, un framework malveillant documenté dans des attaques exploitant des vulnérabilités Ivanti</li> </ul> <h2 id="-attribution">🔗 Attribution</h2> <p><strong>ESET</strong> a associé <strong>PhiliKit</strong> au groupe <strong>UNC5221</strong> (nexus Chine). Les éléments corroborant cette piste incluent : infrastructure <strong>LightNode VPS</strong> associée à des acteurs chinois, activité de scan concentrée entre 00h00-09h00 UTC (horaires de bureau chinois), et usage du scanner <strong>gogo</strong> lié à des acteurs chinois.</p>