黑客利用 Check Point 网关的 PHP2Shell 漏洞部署 TSGA 后门并抹除 ESXi 文件

黑客利用 Check Point 网关中的 PHP2Shell 漏洞部署 TSGA 后门并擦除 ESXi 文件

已观察到一名身份不明的威胁行为者将未打补丁的 Check Point Security Gateway 作为目标，通过 PHP2Shell 漏洞获取初始访问权限，随后利用 Gaia OS 中一个此前未报告的本地提权漏洞，部署名为 TSGA 的后门。

Check Point 详细说明了此次活动，其始于 2026 年 10 月 30 日，针对以色列组织；随后在 2026 年 11 月 2 日出现范围更广的第二波攻击，目标是多个国家和行业的组织。第一波中被点名的部分组织还遭受了破坏性操作，包括部署擦除器恶意软件。

“PHP2Shell 提供了初始访问权限，随后通过 DynamicCLI 接口完成提权，该漏洞编号为 CVE-2026-123039，”Check Point 表示。“攻击者随后部署了 PHP Web Shell、持久化的 TSGA 后门及其内嵌的 TSProxy 网络组件。”

“攻击者从网关通过 SSH 横向移动到一台 VMware ESXi 主机，部署了 destroy_v6 擦除器，并在破坏阶段留下了带有政治主题的 DREAM_ANNEXATION.txt 勒索/留言文件。”

CVE-2026-123039（CVSS 评分：7.8）是一个缺少授权检查的漏洞，可导致在 DynamicCLI 进程中提权至 root，使任何经过身份验证的本地用户只需向套接字写入一个请求即可执行任意命令。

“该问题是本地提权，要求攻击者已在该设备上实现本地代码执行，”Check Point 表示，并补充称其“观察到该漏洞正被积极利用，影响了数十家客户。”

该问题影响以下产品的 R82.20、R82.10、R82、R81.20、R81.10 和 R81 版本——

• Check Point Force Firewalls

• Check Point Management and Log Servers

• Multi-Domain Security Management 和 Multi-Domain Log Server

• Maestro Orchestrator

“2026 年 10 月下旬，在安全修复发布约一周后，源自 130.94.19[.]204 的活动通过 Check Point Security Gateway 上存在漏洞的 Mobile Access 门户针对以色列组织发起攻击，”Check Point 表示。

“证据表明存在部分成功入侵的情况，其利用活动与 PHP2Shell 一致，关联 CVE-2026-109618 和 CVE-2026-109619。”

据称，在获得初始访问权限后，该未知黑客组织通过武器化 CVE-2026-123039，将权限从门户服务账户提升至 root，并部署 PHP Web Shell，以建立持久访问。这些 Web Shell 支持命令执行和文件上传功能。

据称，2026 年 11 月 2 日的第二波攻击针对了一些在第一波中已被攻击的以色列组织，以及全球其他组织，未表现出任何特定的地理或行业偏好，表明这是一次机会主义的初始访问行动。

Web Shell 所提供的访问权限为 TSGA 铺平了道路。TSGA 是一个独立的被动后门，还包含一个名为 TSProxy 的第二组件。TSGA 以 slot_CPconfigdaemon 的形式部署，被描述为具有 Check Point 特定功能的 Linux 网关植入程序，提供加密远程访问、配置窃取、备份与快照持久化、进程注入以及二进制防火墙日志篡改等能力。

“[TSProxy 的]注入代码将这个库加载到选定的设备进程中，在那里拦截网络功能，以处理带有特殊标记的攻击者连接，同时允许普通流量继续运行，”Check Point 表示。“这将一个持久化的独立后门与通过现有设备服务实现的隐蔽访问结合起来。”

观察到的其他一些后利用操作如下 -

• 在网关上部署 gogo 扫描器，以发现网络中的内部资产和服务。

• 通过使用 vpxuser 服务账户进行身份验证，经 SSH 横向移动到 VMware ESXi 主机。

• 暂存一个名为 destroy_v6 的 Linux ELF 擦除器并执行它。该恶意软件递归遍历目标目录，并删除所有文件，无论其扩展名如何。它还会尝试在删除文件之前用零覆盖文件。

• 在每个已处理的目录中投放一个名为“DREAM_ANNEXATION.txt”的说明文件。

TSGA 和 TSProxy 都被评估为名为 PhiliKit 的工具包中 Check Point 特有的组件，该工具包由 ESET 于 2026 年 6 月首次记录，并将其归因于一个被追踪为 Armory Castle（前身为 UNC5221）的中国关联网络间谍组织。

其他指向可能涉及与中国立场一致的威胁行为者的因素包括使用 LightNode VPS 基础设施，以及扫描活动集中在 UTC 时间上午 12 点到 9 点之间，与中国典型的工作时间重合。

然而，这家网络安全公司表示，没有足够证据将最新活动与该威胁行为者或其他已知的中国关联组织联系起来，并列举了以下原因 -

• 使用了擦除器恶意软件

• 聚焦以色列，并在擦除器说明文件中明确提及以色列-巴勒斯坦冲突

“综合来看，这些证据无法让我们高置信度地评估此次行动的真实性质，”Check Point 表示。“有几种情景仍然合理：已识别的行为者实施了整个活动，仅充当初始访问代理，或参与了假旗行动。破坏性活动也可能被用作烟雾弹。”