Angreifer kompromittieren Check-Point-Gateways und löschen ESXi-Dateien
Check Point beobachtete seit dem 30. Oktober 2026 Angriffe auf ungepatchte Security Gateways. Die erste Welle richtete sich laut dem Unternehmen gegen israelische Organisationen. Eine weitere Welle begann am 2. November und traf Organisationen in mehreren Ländern und Branchen. Bei einigen der zuerst angegriffenen Organisationen folgten zerstörerische Aktionen mit Wiper-Schadsoftware.
Für den ersten Zugang nutzten die Angreifer laut Check Point PHP2Shell-Schwachstellen in Mobile-Access-Portalen von Check-Point-Security-Gateways. Danach missbrauchten sie CVE-2026-123039 in der DynamicCLI-Schnittstelle. Die Lücke ist laut Check Point eine fehlende Autorisierungsprüfung, die eine Rechteausweitung auf Root ermöglichen kann. Voraussetzung ist, dass der Angreifer bereits lokale Codeausführung auf dem Gerät erreicht hat; anschließend genügt eine einzelne Anfrage an einen Socket, um beliebige Befehle auszuführen.
Check Point meldete aktive Ausnutzung von CVE-2026-123039 bei einigen Dutzend Kunden. Die Schwachstelle hat laut dem Unternehmen einen CVSS-Wert von 7,8. Betroffen sind die Versionen R82.20, R82.10, R82, R81.20, R81.10 und R81 der Check Point Force Firewalls, Check Point Management and Log Servers, Multi-Domain Security Management und Multi-Domain Log Server. Check Point erklärte, etwa eine Woche vor der beobachteten Aktivität sei ein Sicherheitsfix verfügbar gewesen.
Nach der Rechteausweitung installierten die Angreifer laut Check Point PHP-Webshells mit Funktionen zur Befehlsausführung und zum Hochladen von Dateien. Anschließend setzten sie die bisher nicht dokumentierte Hintertür TSGA und deren Netzwerkkomponente TSProxy ein. Check Point beschreibt TSGA als Linux-Implantat für Gateways mit Funktionen für verschlüsselten Fernzugriff, das Auslesen von Konfigurationen, Persistenz über Backups und Snapshots, Prozessinjektion und das Verändern von Firewall-Protokollen.
TSProxy lädt laut Check Point eine Bibliothek in ausgewählte Prozesse des Geräts und fängt dort bestimmte Netzwerkfunktionen ab. So können speziell markierte Verbindungen der Angreifer über bestehende Dienste verarbeitet werden, während gewöhnlicher Datenverkehr weiterläuft.
In den beobachteten Fällen setzten die Angreifer laut Check Point den Scanner gogo ein, um interne Systeme und Dienste zu finden. Sie bewegten sich anschließend per SSH zu einem VMware-ESXi-Host weiter und authentifizierten sich dabei mit dem Dienstkonto vpxuser. Dort führten sie den Linux-Wiper destroy_v6 aus. Die Schadsoftware durchläuft das Zielverzeichnis rekursiv, löscht Dateien unabhängig von ihrer Endung und versucht, sie zuvor mit Nullen zu überschreiben. In jedem bearbeiteten Verzeichnis hinterließ sie die Datei DREAM_ANNEXATION.txt.
Check Point ordnete die Kampagne keiner bekannten Gruppe mit ausreichender Sicherheit zu. Das Unternehmen bewertet TSGA und TSProxy als Check-Point-spezifische Komponenten des Toolkits PhiliKit, das ESET im Juni 2026 einer China-nahen Gruppe namens Armory Castle, früher UNC5221, zugeschrieben hatte. Check Point erklärte jedoch, die Beweislage lasse auch die Szenarien zu, dass der beobachtete Akteur nur Erstzugang vermittelte oder die zerstörerischen Aktionen als Ablenkung dienten.