LONDON (IT BOLTWISE) – Angreifer nutzen unpatchte Schwachstellen in Check-Point-Security-Gateways, um zunächst Zugang zu erlangen. Danach eskaliert die Gruppe laut Check Point per DynamicCLI-Rechteausweitung und installiert eine persistente Backdoor namens TSGA. In einer zweiten Phase kommt es zudem zu destruktiven Aktionen auf VMware ESXi, bei denen eine wiper-Komponente Dateien löscht. Offen bleibt, ob ein konkreter Akteur hinter der Kampagne steckt – Hinweise deuten zwar auf bestimmte Strukturen, die Beweislage reicht nach Angaben der Ermittler jedoch nicht aus.
Die Angriffskette, die aktuell gegen ungesicherte Check-Point-Security-Gateways beobachtet wurde, ist weniger eine einzelne Lücke als vielmehr ein orchestriertes Vorgehen: Zuerst verschafft sich ein unbekannter Threat Actor über die als „PHP2Shell“-Schwachstellen bekannte Angriffsoberfläche Initial Access. Anschließend folgt eine zweite Phase, in der Rechte auf Systemniveau aufgebaut und eine dauerhafte Präsenz etabliert werden. Laut der detaillierten Beschreibung von Check Point startete die Aktivität am 30. Oktober 2026 mit Zielen in Israel; eine Folge-Welle folgte am 2. November 2026 und richtete sich – ohne erkennbares geografisches oder sektorales Muster – auf weitere Organisationen in mehreren Ländern.
Technisch beginnt das Szenario mit dem Zugriff über Mobile Access Portale. Dort sollen Exploits genutzt worden sein, die mit CVE-2026-109618 und CVE-2026-109619 in Einklang stehen. Check Point beschreibt als zentralen Übergang von einem Web- und Portal-Kontext in eine privilegierte Ausführung die Lücke CVE-2026-123039, eine Missing-Authorization-Fehlstelle mit einem CVSS-Score von 7,8. Sie erlaubt laut Check Point die Privilege Escalation bis zum Root in der DynamicCLI-Prozesslogik, indem ein authentifizierter lokaler Nutzer mithilfe einer einzelnen Anfrage an das Socket beliebige Befehle ausführen kann. Damit wird aus einem „bereits vorhandenen“ lokalen Zugriff ein Hebel, der typischerweise genau dort ansetzt, wo Incident-Teams oft nach externen Eindringlingen suchen – und dabei die Bedeutung von Post-Exploitation-Schnittstellen unterschätzen.
Nachdem die Rechteausweitung greift, setzt das Vorgehen auf Web Shells, die neben der Kommandoausführung auch Dateiuploads unterstützen. Diese Web Shells dienen dann als Transport- und Ausführungsmechanismus für die persistente Backdoor TSGA sowie deren Netzwerkkomponente TSProxy. Check Point ordnet TSGA als „standalone passive backdoor“ ein, die als slot_CPconfigdaemon installiert wird und als Linux-Gateway-Implant mit Check-Point-spezifischen Funktionen auftritt. Zu den Funktionen zählen laut der Beschreibung verschlüsselte Remote-Zugriffe, Konfigurationsdiebstahl, Backup- und Snapshot-Persistenz, Process Injection sowie Manipulationen an Firewall-Logs. TSProxy wird dabei als zusätzlicher Layer beschrieben, dessen Injektionscode eine Bibliothek in ausgewählte Appliance-Prozesse lädt. Er soll Netzwerkfunktionen abfangen und speziell markierte Angreifer-Verbindungen behandeln, während „normaler“ Traffic weiterläuft – ein Muster, das klassisch für Angriffe ist, die Kontrolle über Netzpfade ausüben wollen, ohne dabei den Betrieb sichtbar zu stören.
Parallel dazu zeigt die zweite beobachtete Eskalationsschiene, wie eng Gateway-Kompromisse mit Virtualisierungsumgebungen verknüpft werden. Check Point beschreibt, dass die Angreifer nach dem Durchgriff vom Gateway auf einen VMware ESXi Host über SSH pivotieren – dabei soll über ein vpxuser-Servicekonto authentifiziert worden sein. Auf dem ESXi-Host wird anschließend der wiper destroy_v6 abgesetzt und ausgeführt. Dieses Modul traversiert Zielverzeichnisse rekursiv und löscht Dateien unabhängig von der Dateiendung; zusätzlich versucht es laut Beschreibung, Dateien vor dem Entfernen mit Nullen zu überschreiben, um eine spätere Wiederherstellung zu erschweren. In derselben Phase werden außerdem Notizen mit dem Namen „DREAM_ANNEXATION.txt“ in den verarbeiteten Verzeichnissen abgelegt. Solche „Branding“-Elemente sind für Threat-Hunter oft ein entscheidender zeitlicher Marker, erhöhen aber gleichzeitig die Unsicherheit: Check Point nennt explizit Szenarien wie Initial-Access-Brokerage oder False-Flag-Operationen, weil die Kombination aus Wiper-Funktion, Fokus auf Israel und den politischen Referenzen in den Notizen nicht ausreicht, um die „wahre“ Natur der Operation mit hoher Sicherheit zu bestimmen.
Für die schnelle Einordnung ist auch wichtig, dass Check Point die betroffenen Plattformversionen konkret nennt: Sicherheitsrelevante Lücken sollen auf mehreren R82- und R81-Releases existieren – inklusive R82.20, R82.10, R82 sowie R81.20 und R81. Kurz nach der Bereitstellung eines Fixes im Spätherbst 2026 wurden laut Angaben außerdem Aktivitäten beschrieben, die am ~eine Woche später liegende Phase anschließen. Besonders auffällig ist dabei, dass die erste Welle aus einer IP-Range auf israelische Ziele über vulnerable Mobile-Access-Portale lief; als Gegenstück dazu wird für die November-2-Welle ein opportunistisches Vorgehen nahegelegt, das auch bereits angegriffene Organisationen wieder einbezog, ohne eine klare sektorale oder geografische Einschränkung.
In der Analyse verknüpfen die Ermittler mehrere Indizien zu einem möglichen Toolkit-Kontext. Sowohl TSGA als auch TSProxy werden als Check-Point-spezifische Komponenten eines Werkzeugsets namens PhiliKit beschrieben, das bereits im Juni 2026 in einem öffentlichen Bericht einer Sicherheitsfirma dokumentiert worden war; dort wird eine China-nexus orientierte Cyber-espionage-Gruppe mit dem Namen Armory Castle (früher UNC5221) in Verbindung gebracht. Auch die Nutzung von LightNode VPS sowie die zeitliche Konzentration des Scannings zwischen 12 und 9 Uhr UTC sollen Hinweise auf mögliche Arbeitsrhythmen liefern. Check Point betont jedoch, dass es dafür „nicht genug Belege“ gibt, um die Kampagne eindeutig einem bekannten Akteur zuzuordnen oder Verbindungen zu anderen China-nexus Gruppen sicher zu belegen. In der Praxis bedeutet das: Für Verteidiger zählt vor allem, die Exploit-Kette zu unterbrechen, also die genannten CVEs zu schließen, Anzeichen von Web Shell-Installs zu suchen und danach Post-Exploitation-Pivots auf Virtualisierungs-Hosts zu überwachen.
Aus Sicht von Unternehmen ist die Story vor allem deshalb relevant, weil sie den typischen Sicherheits-Fokus verschiebt. Wer nur den Perimeter betrachtet, erkennt zwar den ersten Einbruch – aber der echte Schaden entsteht, wenn Rechteausweitung, persistente Backdoor-Komponenten und späteres „Living off the infrastructure“-Lateral-Movement zusammenkommen. Gerade bei Gateways lohnt es sich, Monitoring so auszurichten, dass ungewöhnliche CLI-Anfragen, Socket-basierte Missbrauchsmuster und das Auftauchen persistenter Slot-Installationen auffallen. Ebenso sollten Sicherheits- und IT-Teams in Virtualisierungsumgebungen (ESXi, SSH-Zugänge, Servicekonten) nach Mustern suchen, die zu einem Pivot passen, bevor ein Wiper wie destroy_v6 aktiviert wird. Damit rückt die Kampagne weniger „nur“ als Malware-Fall in den Vordergrund, sondern als Warnung: In komplexen Netzwerken reichen schnelle Patches allein nicht, wenn Post-Exploitation bereits erfolgreich war.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "TSGA-Backdoor nach PHP2Shell-Angriffen auf Check-Point-Gateways" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "TSGA-Backdoor nach PHP2Shell-Angriffen auf Check-Point-Gateways" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »TSGA-Backdoor nach PHP2Shell-Angriffen auf Check-Point-Gateways« bei Google Deutschland suchen, bei Bing oder Google News!