Um agente de ameaça desconhecido foi observado atacando gateways de segurança da Check Point que não receberam correções, para obter acesso inicial por meio das vulnerabilidades PHP2Shell e, em seguida, de uma falha de escalonamento local de privilégios no Gaia OS ainda não divulgada anteriormente, a fim de implantar um backdoor chamado TSGA.
A atividade, detalhada pela Check Point, começou em 30 de outubro de 2026 e teve como alvo organizações israelenses. Uma onda de acompanhamento mais ampla, em 2 de novembro de 2026, atingiu organizações em vários países e setores. Algumas das organizações visadas na primeira onda também sofreram ações destrutivas, incluindo a implantação de malware do tipo wiper, que apaga dados.
“O PHP2Shell forneceu o acesso inicial, seguido de escalonamento de privilégios pela interface DynamicCLI, identificado como CVE-2026-123039 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns)”, afirmou a Check Point. “Em seguida, os invasores implantaram web shells em PHP, o backdoor persistente TSGA e seu componente de rede embutido, o TSProxy.”
“Os invasores avançaram do gateway para um host VMware ESXi via SSH (Secure Shell, protocolo de acesso remoto seguro), implantaram o wiper destroy_v6 e deixaram notas de conteúdo político chamadas DREAM_ANNEXATION.txt durante a fase destrutiva.”
A CVE-2026-123039, com pontuação CVSS (Sistema de Pontuação de Vulnerabilidades Comuns) de 7,8, é uma falha de autorização ausente que pode permitir o escalonamento de privilégios para root no processo DynamicCLI. Com isso, qualquer usuário local autenticado pode executar comandos arbitrários enviando uma única requisição ao socket.
“O problema é um escalonamento local de privilégios e exige que o invasor já tenha execução de código local no equipamento”, afirmou a Check Point, acrescentando que observou “uma exploração ativa dessa vulnerabilidade contra cerca de duas dúzias de clientes”.
O problema afeta as versões R82.20, R82.10, R82, R81.20, R81.10 e R81 dos seguintes produtos:
- Check Point Force Firewalls
- Check Point Management and Log Servers
- Multi-Domain Security Management e Multi-Domain Log Server
- Maestro Orchestrator
“No fim de outubro de 2026, aproximadamente uma semana depois de uma correção de segurança ter sido disponibilizada, uma atividade originada do endereço 130.94.19[.]204 atingiu organizações israelenses por meio de portais vulneráveis do Mobile Access nos gateways de segurança da Check Point”, afirmou a empresa.
“Evidências sugerem alguns casos de comprometimento bem-sucedido, com atividade de exploração compatível com o PHP2Shell, associada às vulnerabilidades CVE-2026-109618 e CVE-2026-109619.”
Após obter o acesso inicial, o grupo de hackers desconhecido teria elevado privilégios da conta de serviço do portal para root, explorando a CVE-2026-123039, e implantado web shells em PHP com o objetivo de manter acesso persistente. Esses web shells oferecem suporte à execução de comandos e ao envio de arquivos.
A onda de 2 de novembro de 2026 teria atingido algumas organizações israelenses que já haviam sido alvo na primeira onda, além de outras organizações ao redor do mundo, sem demonstrar preferência geográfica ou setorial específica. Isso indica uma tentativa oportunista de acesso inicial.
O acesso proporcionado pelo web shell abre caminho para o TSGA, um backdoor passivo independente que também inclui um segundo componente, chamado TSProxy. O TSGA, implantado como slot_CPconfigdaemon, foi descrito como um implante para gateways Linux com funcionalidades específicas da Check Point. Ele oferece acesso remoto criptografado, roubo de configurações, persistência por meio de backups e snapshots, injeção de processos e adulteração binária de logs de firewall.
“[O código de injeção do TSProxy] carrega essa biblioteca em processos selecionados do equipamento, onde intercepta funções de rede para tratar conexões especialmente marcadas dos invasores, permitindo que o tráfego comum continue”, afirmou a Check Point. “Isso combina um backdoor independente e persistente com acesso oculto por meio de serviços já existentes no equipamento.”
Outras ações pós-exploração observadas estão listadas abaixo:
- Implantação do scanner gogo no gateway para descobrir ativos e serviços internos em toda a rede.
- Movimentação lateral para um host VMware ESXi via SSH, autenticando-se com a conta de serviço vpxuser.
- Preparação e execução do wiper ELF (Executable and Linkable Format, formato executável e vinculável) para Linux chamado destroy_v6. O malware percorre recursivamente o diretório alvo e apaga todos os arquivos, independentemente da extensão. Ele também tenta sobrescrever os arquivos com zeros antes de excluí-los.
- Criação de uma nota chamada “DREAM_ANNEXATION.txt” em cada diretório processado.
TSGA e TSProxy são avaliados como componentes específicos da Check Point de um conjunto de ferramentas chamado PhiliKit, documentado pela primeira vez pela ESET em junho de 2026. A ESET atribuiu o conjunto a um grupo de espionagem cibernética vinculado à China, monitorado como Armory Castle (antigo UNC5221).
Outros fatores que apontam para o envolvimento de um possível ator de ameaça alinhado à China incluem o uso de infraestrutura LightNode VPS (servidor privado virtual) e o fato de que a atividade de varredura se concentrou entre 12h e 9h (UTC), coincidindo com o horário comercial típico da China.
No entanto, a empresa de cibersegurança afirmou não ter evidências suficientes para vincular a campanha mais recente ao ator de ameaça ou a outros grupos conhecidos vinculados à China, citando os seguintes motivos:
- Uso de malware wiper
- Foco em Israel e referências explícitas ao conflito israelo-palestino na nota deixada pelo wiper
“Considerados em conjunto, os indícios não permitem avaliar com alta confiança a verdadeira natureza desta operação”, afirmou a Check Point. “Vários cenários continuam plausíveis: o ator identificado conduziu toda a campanha, atuou apenas como corretor de acesso inicial ou participou de uma operação de falsa bandeira. Também é possível que a atividade destrutiva tenha servido como cortina de fumaça.”
