Des passerelles Check Point compromises déploient un effaceur sur VMware ESXi

Des attaquants ont exploité des passerelles Check Point vulnérables pour atteindre des hôtes VMware ESXi et y déployer un effaceur de données. Les attaques ont commencé le 30 octobre et une deuxième vague a été observée le 2 novembre, rapporte BleepingComputer (ouvre bleepingcomputer.com dans un nouvel onglet)Aller vers bleepingcomputer.com dans un article publié le 13 novembre 2026.

PHP2Shell ouvre l’accès aux passerelles

L’intrusion repose sur PHP2Shell, nom donné à deux failles critiques, CVE-2026-109618 et CVE-2026-109619. Elles permettent l’exécution de code à distance sans authentification sur les systèmes vulnérables. PHP a publié des correctifs d’urgence le 21 octobre. BleepingComputer rapporte que des tentatives d’exploitation avaient toutefois débuté quatre jours auparavant, selon Amazon Threat Intelligence.

La première vague a visé des organisations israéliennes. D’après Check Point, citée par BleepingComputer, une seconde a touché le 2 novembre des entreprises de plusieurs pays et secteurs. Après avoir obtenu un accès par le portail Mobile Access des passerelles, l’attaquant a exploité une faille zero-day récemment divulguée, CVE-2026-123039, pour obtenir les privilèges root.

Les intrus ont ensuite installé des webshells PHP et une porte dérobée appelée TSGA. Celle-ci intègre TSProxy, un composant réseau conçu pour recevoir des commandes dissimulées dans du trafic habituel. BleepingComputer rapporte également que l’agence américaine CISA avait ajouté les deux failles PHP2Shell à son catalogue des vulnérabilités exploitées le 26 octobre.

Un effaceur déployé sur des hôtes ESXi

Lors des attaques contre des organisations israéliennes, les assaillants ont utilisé l’outil open source gogo pour repérer des hôtes VMware ESXi sur le réseau, puis se sont déplacés depuis la passerelle compromise. L’effaceur, nommé destroy_v6, supprime récursivement les données du répertoire ciblé.

Le programme tente d’abord de remplacer les données par des zéros, une étape qui complique leur récupération. Il dispose aussi d’un mode rapide qui omet cette opération. Selon BleepingComputer, une note baptisée DREAM_ANNEXATION.txt a été retrouvée sur un hôte ESXi compromis. Elle contient des messages politiques, mentionne « Dream Security Ltd. » et rejette les négociations de rançon. Ces éléments suggèrent une volonté de perturbation, mais ne permettent pas d’attribuer avec certitude l’opération à un groupe.

Check Point a établi un rapprochement provisoire entre TSGA, TSProxy et PhiliKit, un framework malveillant déjà observé lors d’attaques contre des équipements Ivanti. ESET avait associé PhiliKit au groupe chinois UNC5221. BleepingComputer souligne que les éléments disponibles ne permettent pas de confirmer cette attribution. La seconde vague n’incluait pas d’effacement de données, et la suite des opérations menées par les attaquants reste inconnue.

Les recommandations de Check Point

Check Point recommande à ses clients d’installer le November Jumbo Hotfix sur les serveurs de gestion et les passerelles de sécurité, en donnant la priorité aux portails Mobile Access exposés à Internet. Selon l’entreprise, la mise à jour corrige PHP2Shell ainsi que la faille d’élévation de privilèges DynamicCLI utilisée dans les attaques.

Les administrateurs devraient aussi rechercher des signes de compromission sur les passerelles exposées : fichiers de session contenant « upload_progress_pwn », processus ou binaires CPconfigdaemon inattendus, et interruptions inexpliquées dans les journaux du pare-feu. Une activité SSH non autorisée depuis la passerelle vers des hôtes VMware ESXi internes constitue également un indicateur d’intrusion.