Aktor ancaman tak dikenal terdeteksi menyasar perangkat Check Point Security Gateway yang belum diperbarui guna memperoleh akses awal memanfaatkan kerentanan PHP2Shell, disusul peretasan celah eskalasi hak istimewa lokal yang belum pernah dilaporkan di sistem operasi Gaia OS untuk menanamkan pintu belakang (backdoor) bernama TSGA.
Aktivitas mencurigakan ini, sebagaimana diuraikan secara rinci oleh Check Point, berawal pada tanggal 30 Oktober 2026 dan menyasar sejumlah organisasi di Israel, yang kemudian disusul gelombang serangan lanjutan yang lebih luas pada 2 November 2026 terhadap berbagai entitas di beragam negara maupun lintas sektor industri. Beberapa instansi yang ditargetkan pada gelombang pertama dilaporkan turut menerima dampak tindakan destruktif parah, termasuk pemasangan perangkat perusak pemusnah data (wiper malware).
"PHP2Shell menyediakan akses masuk permulaan, yang selanjutnya diteruskan dengan eskalasi hak akses sistem lewat antarmuka DynamicCLI, yang diidentifikasi sebagai CVE-2026-123039," ungkap pihak Check Point. "Para peretas kemudian menyebarkan web shell berbasis PHP, backdoor persisten TSGA, serta komponen jaringan terintegrasi miliknya yang disebut TSProxy."
"Para penyerang lalu beralih dari gerbang pengaman menuju host VMware ESXi menggunakan protokol SSH, menyebarkan wiper destroy_v6, dan sengaja meninggalkan catatan ancaman bermuatan politis berjudul DREAM_ANNEXATION.txt selama fase perusakan berlangsung."
Celah CVE-2026-123039 (dengan skor CVSS 7.8) merupakan kerentanan otorisasi yang hilang yang memungkinkan eskalasi hak istimewa menjadi root di dalam proses DynamicCLI. Kondisi ini membuat setiap pengguna lokal terotentikasi dapat mengeksekusi instruksi sewenang-wenang hanya dengan menuliskan sebuah permintaan tunggal ke soket sistem.
"Permasalahan teknis ini merupakan eskalasi hak istimewa tingkat lokal dan mewajibkan pelaku untuk terlebih dahulu mempunyai eksekusi kode lokal pada perangkat keras terkait," sebut Check Point, seraya menambahkan bahwa pihaknya "mengamati terjadinya eksploitasi aktif terhadap kerentanan ini pada beberapa lusin pelanggan."
Masalah keamanan tersebut berdampak secara langsung pada rilis versi perangkat lunak R82.20, R82.10, R82, R81.20, R81.10, serta R81 untuk portofolio lini produk berikut –
"Pada pengujung Oktober 2026, kira-kira sepekan setelah tambalan perlindungan resmi dirilis, aktivitas mencurigakan yang bersumber dari alamat 130.94.19[.]204 membidik organisasi-organisasi di Israel melalui portal Mobile Access yang rentan di Check Point Security Gateways," papar Check Point.
"Sejumlah bukti mengindikasikan adanya beberapa kasus pembobolan yang berhasil, dengan aktivitas peretasan yang selaras dengan karakteristik PHP2Shell, terkait erat dengan CVE-2026-109618 serta CVE-2026-109619."
Usai sukses mengamankan pintu masuk awal, kelompok peretas misterius ini dilaporkan menaikkan derajat hak akses dari akun layanan portal menuju hak akses root lewat eksploitasi CVE-2026-123039 serta menaruh web shell PHP demi mempertahankan persistensi jangka panjang. Web shell ini dibekali kemampuan eksekusi baris perintah sistem dan pengunggahan berkas digital.
Serangan gelombang tanggal 2 November 2026 dilaporkan kembali membidik beberapa instansi Israel yang sebelumnya sempat diincar pada gelombang pertama, berbarengan dengan berbagai organisasi internasional lain di penjuru bumi tanpa memperlihatkan kecenderungan preferensi wilayah atau sektor tertentu, yang menandakan upaya perolehan akses awal bersifat oportunistik.
Keberadaan akses dari web shell tersebut membuka jalan mulus bagi penggelaran TSGA, program backdoor pasif mandiri yang dilengkapi modul pelengkap sekunder bernama TSProxy. TSGA, yang disamarkan dalam penamaan slot_CPconfigdaemon, digambarkan sebagai implan gerbang Linux dengan kapabilitas spesifik Check Point, mencakup akses kendali jarak jauh terenkripsi, pencurian data konfigurasi, persistensi cadangan serta snapshot, injeksi proses sistem, hingga manipulasi catatan log biner firewall.
"Kode injeksi milik [TSProxy] memasukkan pustaka ini ke dalam proses perangkat terpilih, tempat ia mencegat fungsi jaringan untuk melayani lalu lintas instruksi penyerang bertanda khusus sembari membiarkan arus lalu lintas normal tetap berjalan lancar," jelas pihak Check Point. "Teknik ini menyatukan backdoor mandiri persisten dengan jalur masuk tersembunyi yang memanfaatkan modul layanan bawaan mesin."
Beberapa tindakan pasca-eksploitasi lainnya yang turut diamati di lapangan dijabarkan sebagai berikut –
Komponen TSGA maupun TSProxy diyakini merupakan bagian khusus Check Point dari paket perkakas serangan bertajuk PhiliKit yang awalnya diungkap oleh ESET pada Juni 2026, yang mengaitkannya kepada sindikat spionase siber terafiliasi Tiongkok bernama Armory Castle (sebelumnya berlabel UNC5221).
Unsur pendukung lain yang mengarah pada dugaan keterlibatan aktor ancaman berpihak Tiongkok mencakup pemanfaatan infrastruktur VPS LightNode serta fakta pemindaian yang terkonsentrasi kuat antara pukul 12 malam hingga 9 pagi waktu UTC, selaras dengan jam kantor umum di Tiongkok.
Meski demikian, firma keamanan siber tersebut menegaskan bahwa pihaknya belum mengantongi bukti memadai untuk menautkan rentetan kampanye mutakhir ini secara pasti kepada aktor tersebut maupun faksi peretas Tiongkok lainnya, dengan mengemukakan pertimbangan berikut –
"Jika dirangkum secara utuh, kumpulan bukti yang ada belum memungkinkan kami menetapkan kesimpulan dengan keyakinan tinggi terkait motif sejati operasi ini," kata Check Point. "Terdapat beberapa skenario yang tetap masuk akal: pelaku yang teridentifikasi menjalankan keseluruhan kampanye mandiri, sekadar berperan selaku makelar akses awal, atau ikut terlibat operasi bendera palsu (false-flag). Ada kemungkinan pula tindakan destruktif tersebut sekadar dijadikan taktik pengalih perhatian."
About the Author
