Aktor ancaman siber tak dikenal terpantau menargetkan perangkat Check Point Security Gateway yang belum diperbarui guna memperoleh akses awal memanfaatkan kerentanan PHP2Shell, disusul dengan eksploitasi celah eskalasi hak akses lokal pada Gaia OS yang sebelumnya belum pernah dilaporkan untuk menyuntikkan pintu belakang (backdoor) berjuluk TSGA.

Rangkaian aktivitas yang dipaparkan oleh Check Point ini mulai berlangsung sejak tanggal 30 Oktober 2026 dengan menyasar berbagai organisasi di Israel, yang kemudian berlanjut dengan gelombang serangan lanjutan berskala lebih luas pada 2 November 2026 terhadap entitas di banyak negara dan beragam sektor industri. Sejumlah institusi yang telah menjadi sasaran pada gelombang permulaan juga turut mengalami serangan destruktif mematikan, termasuk penyebaran malware penghapus data atau wiper.

"PHP2Shell menyediakan akses tahap awal, yang kemudian disusul oleh eskalasi hak istimewa melalui antarmuka DynamicCLI dengan kode pelacakan CVE-2026-123039," ungkap pihak Check Point. "Para peretas lantas menempatkan web shell PHP, pintu belakang persisten TSGA, serta komponen perutean jaringan terintegrasi miliknya yang dinamakan TSProxy."

"Para penyerang melakukan pergerakan lateral dari unit gateway menuju sistem host VMware ESXi menggunakan protokol SSH, menyebarkan perusak bertajuk destroy_v6, serta meninggalkan dokumen pesan bernuansa politis bernama DREAM_ANNEXATION.txt selama fase perusakan berlangsung."

Celah CVE-2026-123039 dengan skor CVSS 7.8 merupakan kelemahan otorisasi yang hilang dan mampu memicu peningkatan hak istimewa menuju tingkat root di dalam proses DynamicCLI, yang memungkinkan setiap pengguna lokal terotentikasi untuk menjalankan instruksi sembarang cukup dengan melayangkan permintaan tunggal ke arah socket.

"Masalah keamanan ini berupa eskalasi hak istimewa lokal dan menuntut pihak penyerang sudah terlebih dahulu memiliki kemampuan eksekusi kode lokal di perangkat tersebut," tutur Check Point sembari menambahkan bahwa pihaknya "menyaksikan eksploitasi aktif atas kerentanan ini terhadap sekitar dua lusin pelanggan."

Permasalahan krusial tersebut berdampak pada varian versi R82.20, R82.10, R82, R81.20, R81.10, serta R81 dari lini produk terkait berikut ini –

"Pada pengujung bulan Oktober 2026, kira-kira sepekan setelah pembaruan keamanan resmi dirilis, aktivitas serangan yang bersumber dari alamat IP 130.94.19[.]204 membidik target organisasi-organisasi Israel melalui portal Mobile Access yang rentan di Check Point Security Gateway," sebut Check Point.

"Bukti-bukti yang ditemukan mengindikasikan adanya keberhasilan pembobolan di sejumlah kasus, disertai tindakan eksploitasi yang selaras dengan karakteristik PHP2Shell, terkait erat dengan CVE-2026-109618 dan CVE-2026-109619."

Setelah berhasil mengamankan akses tahap pertama, kelompok peretas anonim ini dilaporkan mendongkrak izin akses dari akun layanan portal menuju root memakai persenjataan celah CVE-2026-123039 dan menyebarkan web shell PHP untuk mengamankan pijakan permanen. Perangkat web shell ini mendukung fungsionalitas pengeksekusian perintah sistem sekaligus pengunggahan berkas.

Gelombang penyerangan pada tanggal 2 November 2026 dilaporkan kembali menyasar sejumlah lembaga Israel yang sempat dibidik pada gelombang pertama, bersanding dengan beragam sasaran global lainnya tanpa menunjukkan kecenderungan geografis maupun vertikal industri tertentu, mencerminkan manuver perburuan akses awal yang murni bersifat oportunistik.

Akses masuk yang dihadirkan oleh sarana web shell tersebut membuka jalan bagi penyusupan TSGA, suatu implan pintu belakang pasif mandiri yang memuat instrumen sekunder bernama TSProxy. TSGA, yang disamarkan sebagai berkas slot_CPconfigdaemon, diidentifikasi sebagai implan gateway Linux berkemampuan spesifik Check Point, mencakup akses jarak jauh terenkripsi, pencurian berkas konfigurasi, persistensi melalui backup dan snapshot, injeksi proses sistem, serta pengubahan log biner firewall.

"Kode injeksi milik [TSProxy] memuat pustaka ke dalam proses perkakas terpilih, di mana modul ini mencegat fungsi jaringan untuk mengelola komunikasi khusus milik penyerang sembari tetap mengalirkan lalu lintas normal tanpa gangguan," papar Check Point. "Hal ini memadukan backdoor mandiri yang persisten dengan jalur akses terselubung memanfaatkan layanan bawaan mesin."

Beberapa tindakan pasca-eksploitasi lainnya yang terpantau dihimpun pada poin-poin di bawah ini –

TSGA beserta TSProxy dinilai merupakan bagian komponen spesifik Check Point dari paket perangkat bernama PhiliKit, yang pertama kali diungkap ESET pada Juni 2026 dan dikaitkan dengan sindikat spionase siber terafiliasi Tiongkok bernama Armory Castle (sebelumnya UNC5221).

Indikasi lain yang mengarah pada potensi keterlibatan aktor berpihak Tiongkok mencakup pemakaian infrastruktur VPS LightNode serta pemusatan aktivitas pemindaian pada pukul 12.00 hingga 09.00 UTC, selaras dengan jam kerja umum di Tiongkok.

Kendati demikian, pihak penyedia keamanan siber tersebut menegaskan ketiadaan bukti yang cukup untuk mengaitkan operasi terbaru ini secara pasti kepada aktor tersebut maupun sindikat Tiongkok lainnya, mengacu pada poin pertimbangan berikut –

"Bila digabungkan, seluruh bukti belum memungkinkan kami menyimpulkan hakikat sesungguhnya dari operasi ini dengan tingkat keyakinan tinggi," tandas Check Point. "Sejumlah skenario masih terbuka lebar: aktor teridentifikasi mengendalikan seluruh kampanye, berperan semata sebagai makelar akses awal, atau terlibat aksi bendera palsu. Terdapat pula kemungkinan aksi destruktif dilakukan sebagai taktik pengalihan."