Hakerët shfrytëzojnë dobësitë PHP2Shell në pajisjet Check Point për të vendosur derën e pasme TSGA dhe për të fshirë skedarët ESXi

Një aktor i panjohur kërcënimi po godet pajisjet e papërditësuara Check Point Security Gateway, duke fituar akses fillestar përmes cenueshmërive të njohura si PHP2Shell dhe duke përshkallëzuar më pas privilegjet përmes një cenueshmërie të parraportuar më parë në sistemin Gaia OS, për të vendosur një derë të pasme (backdoor) të quajtur TSGA, siç njofton The Hacker News, duke cituar kërkimin e vetë kompanisë Check Point. Aktiviteti nisi më 30 tetor 2026 kundër organizatave izraelite dhe vijoi me një valë më të gjerë më 2 nëntor kundër organizatave në disa vende e sektorë; disa prej organizatave të valës së parë pësuan edhe veprime shkatërruese, me vendosjen e një programi fshirës (wiper).

“PHP2Shell siguroi aksesin fillestar, i ndjekur nga përshkallëzimi i privilegjeve përmes ndërfaqes DynamicCLI, i gjurmuar si CVE-2026-123039”, tha Check Point. Cenueshmëria, me pikëzim CVSS 7.8, është një e metë e mungesës së autorizimit që mund t’i lejojë një përdoruesi lokal të vërtetuar të ekzekutojë komanda arbitrare si root; kompania thotë se e ka vëzhguar shfrytëzimin aktiv të saj kundër disa dhjetëra klientëve. Të prekura janë versionet R82.20, R82.10, R82, R81.20, R81.10 dhe R81 të firewall-eve Force, serverëve të menaxhimit dhe regjistrimit, menaxhimit me shumë domene dhe Maestro Orchestrator.

Sipas Check Point, sulmet e fundit të tetorit, rreth një javë pas daljes së rregullimit të sigurisë, erdhën nga adresa 130.94.19.204 dhe goditën portalet Mobile Access të pajisjeve të cenueshme. Pas aksesit fillestar, sulmuesit vendosën guaska uebi (web shells) në PHP me aftësi ekzekutimi komandash dhe ngarkimi skedarësh, dhe më pas derën e pasme pasive TSGA — e vendosur me emrin slot_CPconfigdaemon — së bashku me komponentin e saj të rrjetit TSProxy, i cili përgjon funksionet e rrjetit të proceseve të pajisjes për të kaluar lidhjet e shënuara të sulmuesit, ndërsa trafiku normal vazhdon papenguar.

Në disa raste, sulmuesit kaluan nga pajisja drejt një hosti VMware ESXi përmes SSH, duke u vërtetuar me llogarinë e shërbimit vpxuser, dhe ekzekutuan programin fshirës destroy_v6, i cili i mbishkruan skedarët me zero përpara se t’i fshijë dhe lë në çdo dosje një shënim me temë politike të quajtur DREAM_ANNEXATION.txt. Për skanimin e rrjetit të brendshëm u përdor mjeti gogo scanner.

TSGA dhe TSProxy vlerësohen nga Check Point si pjesë e paketës së mjeteve PhiliKit, e dokumentuar për herë të parë nga ESET në qershor 2026 dhe e atribuar grupit të spiunazhit kibernetik me lidhje kineze Armory Castle (më parë UNC5221); në të njëjtin drejtim tregojnë edhe përdorimi i infrastrukturës LightNode VPS dhe përqendrimi i skanimeve në orët që përkojnë me orarin e punës në Kinë. Megjithatë, kompania thekson se provat nuk mjaftojnë për një atribuim me besim të lartë: përdorimi i programit fshirës, fokusi te Izraeli dhe shënimet politike lënë të hapura disa skenarë, nga veprimi i plotë i të njëjtit aktor, te ndërmjetësi i aksesit fillestar, operacioni me flamur të rremë, apo veprimtaria shkatërruese si perde tymi.