Aktor ancaman siber yang belum teridentifikasi terpantau menargetkan perangkat Check Point Security Gateway yang belum diperbarui. Peretas berupaya memperoleh akses awal menggunakan kerentanan PHP2Shell, kemudian mengeksploitasi celah eskalasi hak istimewa lokal yang belum pernah dilaporkan di sistem operasi Gaia OS guna menyebarkan backdoor berbahaya bernama TSGA.
Aktivitas serangan yang diuraikan oleh pihak Check Point ini dimulai pada tanggal 30 Oktober 2026 dengan menyasar berbagai organisasi di Israel. Gelombang serangan lanjutan yang berskala lebih masif menyusul pada 2 November 2026, menargetkan banyak organisasi di berbagai sektor dan negara. Beberapa entitas yang diserang pada gelombang awal turut menghadapi tindakan destruktif nyata, termasuk penyebaran malware pemusnah data atau wiper.
"PHP2Shell menyediakan akses awal, yang kemudian diikuti dengan eskalasi hak istimewa melalui antarmuka DynamicCLI, yang terlacak sebagai CVE-2026-123039," ungkap Check Point. "Para penyerang lantas menanamkan PHP web shell, pintu belakang TSGA persisten, serta komponen jaringan tersemat bernama TSProxy."
"Para penyerang berpindah secara lateral dari gateway menuju host VMware ESXi menggunakan koneksi SSH, menyebarkan wiper destroy_v6, dan meninggalkan pesan bermuatan politis berjudul DREAM_ANNEXATION.txt selama fase destruktif berlangsung."
Kerentanan CVE-2026-123039 dengan skor CVSS 7.8 merupakan kelemahan otorisasi yang hilang yang dapat memicu eskalasi hak istimewa ke tingkat root di dalam proses DynamicCLI. Kondisi tersebut memungkinkan setiap pengguna lokal terotentikasi untuk menjalankan perintah secara sewenang-wenang hanya dengan menuliskan sebuah permintaan tunggal ke soket internal.
"Masalah ini merupakan eskalasi hak istimewa lokal dan mengharuskan pelaku kejahatan siber telah memiliki kemampuan eksekusi kode lokal pada perangkat," jelas Check Point, seraya menambahkan bahwa pihaknya "mengamati eksploitasi aktif atas kerentanan tersebut terhadap beberapa lusin pelanggan."
Kelemahan keamanan ini berdampak langsung pada versi firmware R82.20, R82.10, R82, R81.20, R81.10, serta R81 dari lini produk terkait.
"Pada akhir Oktober 2026, sekitar satu pekan setelah perbaikan keamanan resmi dirilis, aktivitas serangan yang bersumber dari alamat IP 130.94.19[.]204 menargetkan organisasi-organisasi di Israel melalui portal Mobile Access yang rentan pada Check Point Security Gateways," tutur Check Point.
"Bukti yang terkumpul menunjukkan adanya beberapa kasus kompromi yang berhasil, dengan aktivitas eksploitasi yang selaras dengan PHP2Shell, terkait langsung dengan CVE-2026-109618 dan CVE-2026-109619."
Setelah berhasil mengamankan akses awal, kelompok peretas misterius ini dilaporkan meningkatkan hak istimewa dari akun layanan portal menuju tingkat root dengan memanfaatkan celah CVE-2026-123039. Mereka kemudian menyebarkan PHP web shell untuk mengukuhkan persistensi jangka panjang. Web shell ini diketahui mendukung fungsi eksekusi perintah arbitrer serta kapabilitas pengunggahan berkas secara leluasa.
Gelombang serangan pada 2 November 2026 dikabarkan kembali menyasar sejumlah organisasi Israel yang sebelumnya menjadi target gelombang pertama, berdampingan dengan sasaran global lainnya secara acak. Serangan ini tidak memperlihatkan preferensi sektor industri atau geografis tertentu, yang mengindikasikan upaya perolehan akses awal yang bersifat oportunistik.
Akses masuk yang disediakan oleh web shell tersebut menjadi batu loncatan bagi pemasangan TSGA, yakni backdoor pasif mandiri yang membawa modul sekunder bernama TSProxy. TSGA dipasang dengan menyamar sebagai slot_CPconfigdaemon dan digambarkan sebagai implan gateway Linux dengan fungsi khusus produk Check Point. Alat ini menyediakan akses jarak jauh terenkripsi, pencurian berkas konfigurasi, persistensi melalui backup dan snapshot, injeksi proses, serta manipulasi biner log firewall.
"Kode injeksi [TSProxy] memuat pustaka ini ke dalam proses-proses perangkat terpilih, tempat ia mencegat fungsi jaringan untuk menangani koneksi penyerang bertanda khusus sambil membiarkan lalu lintas biasa berjalan normal," papar Check Point. "Hal ini menggabungkan backdoor mandiri yang persisten dengan akses terselubung melalui layanan perangkat yang sudah ada sebelumnya."
Beberapa tindakan pasca-eksploitasi lainnya yang terpantau dalam insiden ini turut dipaparkan oleh para peneliti.
Baik modul TSGA maupun TSProxy dinilai merupakan bagian khusus Check Point dari toolkit bernama PhiliKit. Perangkat spionase ini pertama kali didokumentasikan oleh ESET pada Juni 2026 dan diatribusikan kepada kelompok spionase siber terafiliasi Tiongkok yang dilacak sebagai Armory Castle (sebelumnya dikenal sebagai UNC5221).
Faktor lain yang mengarah pada potensi keterlibatan aktor ancaman terkait Tiongkok mencakup pemanfaatan infrastruktur VPS LightNode serta pola aktivitas pemindaian yang terkonsentrasi antara pukul 12 hingga 9 pagi waktu UTC, selaras dengan jam kerja normal di Tiongkok.
Kendati demikian, perusahaan keamanan siber tersebut menyatakan belum mengantongi bukti yang cukup kuat untuk menautkan kampanye terbaru ini secara pasti ke aktor ancaman tersebut maupun kelompok peretas terafiliasi Tiongkok lainnya, dengan mengemukakan sejumlah alasan mendasar.
"Secara keseluruhan, bukti-bukti yang ada tidak memungkinkan kami menilai dengan tingkat keyakinan tinggi mengenai sifat asli operasi ini," tegas Check Point. "Beberapa skenario tetap masuk akal: aktor teridentifikasi menjalankan keseluruhan kampanye, bertindak semata-mata sebagai broker akses awal, atau berpartisipasi dalam operasi bendera palsu. Terdapat kemungkinan pula bahwa aksi destruktif tersebut hanya berfungsi sebagai tabir asap pengalihan."
