INCIBE alerta de una campaña que toma el control de gateways Check Point y llega a borrar sistemas

El aviso llega por partida doble y casi a la vez. Check Point Research ha confirmado una campaña activa que, desde el 30 de octubre, explota gateways Check Point sin parchear con el portal Mobile Access expuesto para tomar el control completo del equipo, y el INCIBE-CERT ha publicado este viernes un aviso de criticidad máxima sobre los fallos afectados. La campaña no se queda en el robo de acceso: en su primera ola incluyó el borrado destructivo de sistemas.

Según la investigación de Check Point, la cadena de ataque empieza con PHP2Shell como vía de entrada y sigue con una escalada de privilegios hasta root a través de un fallo en la interfaz DynamicCLI. Con el equipo ya tomado, los atacantes plantaron webshells en las plantillas del propio portal, instalaron la puerta trasera persistente TSGA con su componente de red TSProxy, escanearon la red interna y saltaron por SSH hasta un host VMware ESXi, donde ejecutaron el wiper destroy_v6 y dejaron notas con la marca DREAM_ANNEXATION.

La primera ola, del 30 de octubre, golpeó a organizaciones israelíes e incluyó esa actividad destructiva. La segunda, del 2 de noviembre, alcanzó organizaciones de varios países y sectores, sin un foco claro, lo que apunta a un aprovechamiento oportunista del acceso. La explotación comenzó apenas una semana después de que el fabricante publicara la corrección. Sobre la autoría conviene prudencia: TSGA y TSProxy son variantes de PhiliKit, un framework que ESET vinculó con el actor chino UNC5221, pero Check Point admite que las pruebas no bastan para fijar un responsable; caben un broker de acceso inicial, una operación de bandera falsa o una represalia escenificada con la marca de Dream Security.

El aviso del INCIBE-CERT, de criticidad cinco sobre cinco, recoge el boletín del fabricante sobre cinco vulnerabilidades, dos de ellas críticas, y pone el caso en la agenda de los organismos españoles. Es la segunda alerta del CERT nacional en pocos días sobre equipos de frontera explotados activamente, después del fallo en las VPN de SonicWall que puede saltarse la doble autenticación.

El patrón se repite con exactitud incómoda: el equipo que guarda la entrada a la red, esa VPN que mantiene conectada a la empresa, se convierte en objetivo prioritario a los pocos días de conocerse el fallo. La ventana entre la publicación del parche y la explotación se mide ya en días, y un gateway sin actualizar es un incidente esperando fecha. Una vez aplicada la corrección, la revisión que cuenta es la de qué pudo quedar expuesto mientras tanto.