Um threat actor ainda não identificado foi observado atacando Check Point Security Gateways sem os patches de segurança necessários. O objetivo era obter acesso inicial por meio das vulnerabilidades PHP2Shell e, em seguida, explorar uma falha de escalonamento local de privilégios ainda não divulgada no Gaia OS para instalar um backdoor chamado TSGA.
A atividade, detalhada pela Check Point, começou em 30/10/2026 e teve como alvo organizações israelenses. Uma nova onda, mais ampla, ocorreu em 2/11/2026 e atingiu organizações de diferentes países e setores. Algumas das entidades visadas na primeira onda também foram alvo de ações destrutivas, incluindo a instalação de um malware wiper.
“A PHP2Shell permitiu o acesso inicial, seguido pelo escalonamento de privilégios por meio da interface DynamicCLI, identificado como CVE-2026-123039”, informou a Check Point. “Em seguida, os invasores instalaram shells PHP acessíveis pela web, o backdoor persistente TSGA e seu componente de rede integrado, o TSProxy.”
“Os invasores usaram o gateway como ponto de partida para chegar a um servidor VMware ESXi por SSH, instalaram o wiper destroy_v6 e, durante a etapa destrutiva, deixaram mensagens de teor político chamadas DREAM_ANNEXATION.txt.”
A CVE-2026-123039, com pontuação CVSS de 7,8, é uma falha decorrente da ausência de autorização, que pode permitir o escalonamento de privilégios até o superusuário no processo DynamicCLI. Com isso, qualquer usuário local autenticado pode executar comandos arbitrários ao gravar uma única solicitação no soquete.
“O problema é uma falha de escalonamento local de privilégios e exige que o invasor já tenha execução local de código no equipamento”, afirmou a Check Point. A empresa acrescentou que “observou a exploração ativa dessa vulnerabilidade contra algumas dezenas de clientes”.
A falha afeta as versões R82.20, R82.10, R82, R81.20, R81.10 e R81 dos seguintes produtos:
- Check Point Force Firewalls
- Servidores de gerenciamento e de logs da Check Point
- Gerenciamento de Segurança Multidomínio e Servidor de Logs Multidomínio
- Maestro Orchestrator
“No fim de outubro de 2026, cerca de uma semana após a disponibilização de um patch de segurança, uma atividade originada no endereço 130.94.19[.]204 teve como alvo organizações israelenses por meio de portais Mobile Access vulneráveis em Check Point Security Gateways”, informou a empresa.
“Os indícios apontaram para possíveis casos de comprometimento bem-sucedido, com atividade de exploração compatível com PHP2Shell, associada às CVE-2026-109618 e CVE-2026-109619.”
Após obter acesso inicial, o threat actor desconhecido teria elevado os privilégios da conta de serviço do portal até o superusuário, explorando a CVE-2026-123039. Também teria instalado shells PHP acessíveis pela web para manter o acesso. Essas ferramentas permitem executar comandos e enviar arquivos.
A onda de 2/11/2026 teria atingido algumas organizações israelenses já visadas na primeira etapa, além de outras entidades em diferentes partes do mundo. Como não houve preferência aparente por região ou setor, a atividade indica uma busca oportunista por acesso inicial.
O acesso proporcionado pelas ferramentas instaladas na web abre caminho para o TSGA, um backdoor autônomo e passivo que também inclui um segundo componente, chamado TSProxy. Instalado como slot_CPconfigdaemon, o TSGA foi descrito como um implante para gateways Linux, com funções específicas para equipamentos da Check Point. Entre seus recursos estão acesso remoto criptografado, roubo de configurações, persistência por meio de cópias de segurança e snapshots, injeção em processos e adulteração dos logs binários do firewall.
“O código de injeção do TSProxy carrega essa biblioteca em processos selecionados do equipamento, onde intercepta funções de rede para lidar com conexões dos invasores marcadas especialmente, enquanto permite a continuidade do tráfego normal”, informou a Check Point. “A combinação reúne um backdoor autônomo e persistente com acesso oculto por meio de serviços já existentes no equipamento.”
Outras ações observadas após a exploração incluem:
- Instalação da ferramenta de varredura gogo no gateway para localizar ativos e serviços internos na rede.
- Movimentação lateral até um servidor VMware ESXi por SSH, com autenticação pela conta de serviço vpxuser.
- Preparação e execução do malware wiper destroy_v6, um arquivo ELF para Linux. O malware percorre recursivamente o diretório-alvo e apaga todos os arquivos, independentemente da extensão. Também tenta sobrescrevê-los com zeros antes da exclusão.
- Criação de uma mensagem chamada “DREAM_ANNEXATION.txt” em cada diretório processado.
A avaliação da Check Point é que TSGA e TSProxy são componentes específicos para produtos da empresa de um conjunto de ferramentas chamado PhiliKit. A ESET documentou o PhiliKit pela primeira vez em junho de 2026 e o atribuiu a um grupo de espionagem cibernética ligado à China, acompanhado sob o nome Armory Castle, anteriormente identificado como UNC5221.
Outros elementos também apontam para a possível participação de um threat actor alinhado à China, entre eles o uso de infraestrutura de servidores virtuais privados (VPS) da LightNode e a concentração das atividades de varredura entre 9h e meio-dia UTC, período que coincide com o horário comercial típico chinês.
No entanto, a empresa de cibersegurança afirmou não ter evidências suficientes para relacionar a campanha mais recente ao grupo ou a outras organizações conhecidas ligadas à China. Entre os motivos citados estão:
- O uso de malware wiper.
- O foco em Israel e as referências explícitas ao conflito israelo-palestino na mensagem deixada pelo wiper.
“Consideradas em conjunto, as evidências não nos permitem avaliar com alto grau de confiança a verdadeira natureza desta operação”, afirmou a Check Point. “Vários cenários continuam plausíveis: o grupo identificado conduziu toda a campanha, atuou apenas como intermediário de acesso inicial ou participou de uma operação de falsa bandeira. Também é possível que a atividade destrutiva tenha servido como cortina de fumaça.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...