Un actor de amenazas desconocido explotó vulnerabilidades en gateways de Check Point para obtener acceso inicial y escalar privilegios mediante el fallo CVE-2026-123039. Los atacantes desplegaron el backdoor TSGA y, en algunos casos, utilizaron el malware wiper destroy_v6 para borrar datos en hosts VMware ESXi. Aunque se vinculan herramientas con grupos alineados a China, el uso de contenido político sugiere una posible operación de bandera falsa.






Se ha observado a un actor de amenazas desconocido atacando Security Gateways de Check Point sin parchear para obtener acceso inicial a través de las vulnerabilidades PHP2Shell y, posteriormente, un fallo de escalada de privilegios locales reportado previamente en Gaia OS para desplegar un backdoor llamado TSGA.

La actividad, detallada por Check Point, comenzó el 30 de octubre de 2026 y se dirigió a organizaciones israelíes, con una segunda ola más amplia el 2 de noviembre de 2026 que afectó a organizaciones de múltiples países y sectores. Algunas de las organizaciones señaladas en la primera ola también han sido blanco de acciones destructivas que incluyen el despliegue de malware wiper.

"PHP2Shell proporcionó el acceso inicial, seguido de una escalada de privilegios a través de la interfaz DynamicCLI, rastreada como CVE-2026-123039", afirmó Check Point. "Los atacantes luego desplegaron web shells de PHP, el backdoor persistente TSGA y su componente de red integrado TSProxy".

"Los atacantes pivotaron desde la puerta de enlace hacia un host VMware ESXi a través de SSH, desplegaron el wiper destroy_v6 y dejaron notas con temática política llamadas DREAM_ANNEXATION.txt durante la etapa destructiva".

El CVE-2026-123039 (puntuación CVSS: 7.8) es un fallo de falta de autorización que podría permitir la escalada de privilegios a root en el proceso DynamicCLI, permitiendo que cualquier usuario local autenticado ejecute comandos arbitrarios escribiendo una única solicitud en el socket.

"El problema es una escalada de privilegios local y requiere que el atacante ya tenga ejecución de código local en el dispositivo", señaló Check Point, añadiendo que "observó un exploit activo de esta vulnerabilidad contra un par de docenas de clientes".

El problema afecta a las versiones R82.20, R82.10, R82, R81.20, R81.10 y R81 de los siguientes productos:

* Firewalls Check Point Force
* Servidores de Gestión y Logs de Check Point
* Gestión de Seguridad Multi-Dominio y Servidor de Logs Multi-Dominio
* Maestro Orchestrator

"A finales de octubre de 2026, aproximadamente una semana después de que estuviera disponible una corrección de seguridad, la actividad originada desde 130.94.19[.]204 atacó a organizaciones israelíes a través de portales de Acceso Móvil vulnerables en Security Gateways de Check Point", dijo Check Point.

"La evidencia sugirió algunos casos de compromiso exitoso, con una actividad de explotación consistente con PHP2Shell, asociada a CVE-2026-109618 y CVE-2026-109619".



Después de obtener el acceso inicial, se dice que el grupo de hacking desconocido escaló privilegios desde la cuenta de servicio del portal a root utilizando CVE-2026-123039 y desplegando web shells de PHP con el objetivo de establecer acceso persistente. Las web shells admiten la ejecución de comandos y capacidades de subida de archivos.

La ola del 2 de noviembre de 2026 se dirigió a algunas organizaciones israelíes que ya habían sido atacadas en la primera ola, junto con otras organizaciones en todo el mundo, sin demostrar ninguna preferencia geográfica o sectorial específica, lo que indica un esfuerzo oportunista de acceso inicial.

El acceso proporcionado por la web shell allana el camino para TSGA, un backdoor pasivo independiente que también incluye un segundo componente llamado TSProxy. TSGA, desplegado como slot_CPconfigdaemon, ha sido descrito como un implante de puerta de enlace Linux con funcionalidad específica de Check Point, que ofrece acceso remoto cifrado, robo de configuración, persistencia de copias de seguridad y snapshots, inyección de procesos y manipulación de logs del firewall.

"El código de inyección [de TSProxy] carga esta librería en procesos seleccionados del dispositivo, donde intercepta las funciones de red para manejar conexiones del atacante especialmente marcadas mientras permite que el tráfico ordinario continúe", afirmó Check Point. "Esto combina un backdoor independiente persistente con un acceso oculto a través de los servicios existentes del dispositivo".

Algunas de las otras acciones de post-explotación observadas se enumeran a continuación:

• * Despliegue del escáner gogo en la puerta de enlace para descubrir activos y servicios internos en la red.
• * Movimiento lateral hacia un host VMware ESXi a través de SSH autenticándose con la cuenta de servicio vpxuser.
• * Preparación y ejecución de un wiper ELF de Linux llamado destroy_v6. El malware recorre recursivamente el directorio objetivo y elimina todos los archivos independientemente de su extensión. También intenta sobrescribir los archivos con ceros antes de eliminarlos.
• * Colocación de una nota llamada "DREAM_ANNEXATION.txt" en cada directorio procesado.

Tanto TSGA como TSProxy se consideran componentes específicos de Check Point de un kit de herramientas llamado PhiliKit que fue documentado por primera vez por ESET en junio de 2026, atribuyéndolo a un grupo de ciberespionaje vinculado a China rastreado como Armory Castle (anteriormente UNC5221).

Otros factores que apuntan a la implicación de un posible actor de amenazas alineado con China incluyen el uso de infraestructura VPS de LightNode y el hecho de que la actividad de escaneo se concentró entre las 12 y las 9 a.m. UTC, coincidiendo con el horario laboral típico chino.

Sin embargo, la empresa de ciberseguridad dijo que no tiene pruebas suficientes para vincular la última campaña al actor de amenazas u otros grupos conocidos vinculados a China, citando las siguientes razones:

• * Uso de malware wiper
• * Enfoque en Israel y referencias explícitas al conflicto israelí-palestino en la nota del wiper

"En conjunto, la evidencia no nos permite evaluar con alta confianza la verdadera naturaleza de esta operación", dijo Check Point. "Varios escenarios siguen siendo plausibles: el actor identificado dirigió toda la campaña, actuó únicamente como un bróker de acceso inicial, o participó en una operación de bandera falsa. También es posible que la actividad destructiva sirviera como una cortina de humo".

Fuente:
THN