Check Point: תוקפים ניצלו פרצות בשערי Mobile Access נגד ארגונים בישראל, והפעילו מוחק נתונים
חוקרי Check Point חושפים מתקפה שהחלה ב-30 באוקטובר: חדירה דרך פורטל Mobile Access, השגת הרשאות root בשער האבטחה, ומשם מחיקת קבצים בשרת VMware ESXi. מי שעוד לא עדכן, זה הזמן.
TL;DR בקצרה
- הגל הראשון, ב-30 באוקטובר, כוון לארגונים בישראל וכלל מחיקת נתונים אצל חלק מהם
- הפריצה שילבה את PHP2Shell עם CVE-2026-123039, חולשה שנותנת הרשאות root במערכת Gaia
- Check Point שחררה Jumbo Hotfix מתוקן לגרסאות R81 עד R82.20
- החוקרים לא קובעים בביטחון מי עומד מאחורי המתקפה, ולא שוללים הטעיה מכוונת
תוקפים ניצלו שרשרת של פרצות בשערי אבטחה של Check Point כדי לחדור לארגונים בישראל, ואצל חלק מהם הפעילו כלי שמוחק נתונים. כך עולה מדוח שפרסמה Check Point Research ב-12 בנובמבר. הגל הראשון התחיל ב-30 באוקטובר, כשבוע אחרי שהתיקון לפרצה כבר היה זמין.
איך התוקפים עברו מפורטל Check Point לשרתי ה-ESXi
נקודת הכניסה הייתה פורטל Mobile Access, הרכיב שדרכו עובדים מתחברים מרחוק לרשת הארגון. התוקפים ניצלו בו את PHP2Shell, כינוי לשתי חולשות שמסומנות CVE-2026-109618 ו-CVE-2026-109619. כך קיבלו גישה בהרשאות של חשבון השירות של הפורטל.
השלב הבא היה הסלמת הרשאות. החולשה CVE-2026-123039 פוגעת ברכיב בשם DynamicCLI במערכת ההפעלה Gaia של Check Point. התהליך שלה רץ בהרשאות root ומקבל פקודות דרך שקע תקשורת מקומי. בגרסאות הפגיעות כל משתמש מקומי יכול לכתוב לשקע הזה, והשירות לא בודק מי שלח את הפקודה. ציון החומרה של החולשה הוא 7.8.
עם הרשאות מלאות, התוקפים שתלו web shells בתבניות של דף הכניסה לפורטל. אחר כך התקינו דלת אחורית קבועה בשם TSGA, שכוללת רכיב רשת חבוי בשם TSProxy. מהשער הם סרקו את הרשת הפנימית, התחברו ב-SSH לשרת VMware ESXi והפעילו מוחק נתונים בשם destroy_v6. על השרת השאירו התוקפים הודעה עם מסר פוליטי בעברית.
גל שני, ושאלה פתוחה: מי עומד מאחורי המתקפה
ב-2 בנובמבר הגיע גל סריקות שני. הפעם הוא פגע גם בארגונים במדינות נוספות, והחוקרים לא זיהו בו פעילות הרסנית. לפי החוקרים, לא הייתה התמקדות בענף מסוים. נראה שהתוקפים חיפשו כל שער פגיע שנשאר פתוח. לפי דיווח של Cyber Security News, Check Point אישרה ניצול של החולשה אצל כשני תריסרים מלקוחותיה.
שאלת הזהות מסובכת. הכלים שנמצאו דומים מאוד לערכה בשם PhiliKit, שחברת ESET קשרה לקבוצה סינית בשם UNC5221. גם שעות הסריקה תואמות שעות עבודה בסין. מנגד, מתקפה הרסנית עם מסר על הסכסוך הישראלי פלסטיני לא מתאימה לדפוס הפעולה של הקבוצה. החוקרים מציגים כמה אפשרויות: אותו גורם ביצע הכל, הוא רק מכר גישה לאחרים, או שמדובר בהטעיה מכוונת.
למה מתקפת Check Point הזאת חשובה גם לעסקים קטנים
שערי Check Point נפוצים מאוד בישראל, גם בחברות בינוניות ובמשרדים שמנוהלים על ידי ספק IT חיצוני. במקרים כאלה בעל העסק לא תמיד יודע איזו גרסה רצה אצלו ומתי היא עודכנה. המקרה הזה מראה כמה מהר תוקפים מנצלים פער של שבוע בין התיקון להתקנה בפועל.
יש גם לקח רחב. שער אבטחה הוא נקודה שכל הרשת סומכת עליה. מי ששולט בו יכול להגיע לשרתים הפנימיים, כולל שרתי הווירטואליזציה שמריצים את כל המערכות של הארגון. גיבוי שנמצא באותה רשת עלול להימחק יחד עם השאר.
מה זה אומר עבורכם
- בדקו מול ספק ה-IT אם פורטל Mobile Access פעיל אצלכם, ואם הותקן Jumbo Hotfix מתוקן. לפי ההנחיה של Check Point, הגרסאות המתוקנות מתחילות ב-R82.20 Take 14, ב-R82.10 Take 52, ב-R82 Take 132 וב-R81.20 Take 174.
- אם השער לא עודכן מסוף אוקטובר, אל תסתפקו בעדכון. בקשו בדיקת חדירה: חיפוש קבצי zz*.tpl בתיקיית התבניות של הפורטל ובדיקת היומן
/var/log/dynamicCli.log. - בגרסה מתוקנת, ההרשאות של שקע DynamicCLI הן 0660. אם רואים 0777, השער עדיין חשוף.
- כפתרון זמני אפשר לעצור את התהליך dynamic_server. זה חוסם את הדרך להסלמה, אבל מנטרל את פקודות Dynamic CLI.
- ודאו שיש לכם גיבוי של שרתי ה-ESXi שלא נגיש מהרשת הרגילה, ובדקו שאפשר לשחזר ממנו.
מה הלאה
Check Point פרסמה את סימני הזיהוי של המתקפה, כולל כתובות IP ושמות קבצים, כדי שצוותי אבטחה יוכלו לסרוק את המערכות שלהם. כדאי לעקוב אחרי עדכונים מהחברה ומהמערך הלאומי להגנת הסייבר. אם יתברר מי עומד מאחורי הגל, החוקרים יוכלו להוסיף סימנים חדשים.
מקורות והרחבה
- PHP2Shell Exploitation on Check Point GatewayCheck Point Research
- sk1000362 - CVE-2026-123039 - Local privilege escalation to root in the DynamicCLI processCheck Point
- Check Point 0-day Exploited in PHP2Shell Attack to Deploy Malware and Wipe ESXi FilesCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
