- Cosa può fare
- Dopo l'ingresso dal portale, l'attaccante ottiene i privilegi di root sul firewall, installa una backdoor (TSGA) e web shell, esplora la rete interna e, secondo Check Point, si sposta via SSH su un server VMware ESXi dove lancia un wiper che cancella i file.
- Cosa mette in pericolo
- Il firewall perimetrale e, da lì, i server virtuali ospitati su ESXi: rischio di perdita di dati e di fermo dell'attività, oltre al controllo dell'apparato che protegge la rete. Con patch applicata dopo la compromissione l'attacco non si elimina da solo.
- Chi è colpito
- Check Point Security Gateway e firewall (anche Scalable Platforms, Maestro) e Management Server su Gaia OS: R82.20 senza Jumbo Hotfix Take 14, R82.10 senza Take 52, R82 senza Take 132, R81.20 senza Take 174. Le versioni R81.10, R81, R80.x non ricevono patch (fine supporto). L'ingresso iniziale riguarda i gateway con portale Mobile Access non corretti per PHP2Shell.
Cosa fare
- Installare subito il Jumbo Hotfix Check Point: R82.20 Take 14, R82.10 Take 52, R82 Take 132 o R81.20 Take 174 (o successivi), seguendo gli avvisi SK1000362 e SK1000291.
- Se il gateway usa versioni fuori supporto (R81.10, R81, R80.x), pianificare l'aggiornamento a una versione supportata: per queste non verrà rilasciata alcuna patch.
- Se il portale Mobile Access non serve, disattivarlo o limitarlo finché non è aggiornato.
- Cercare segni di compromissione con gli indicatori dell'avviso SK1000362: web shell sul portale, processo slot_CPconfigdaemon, file DREAM_ANNEXATION.txt, traffico dall'indirizzo 130.94.19.204.
- Controllare i collegamenti SSH dal firewall verso gli host ESXi, in particolare con l'utenza vpxuser.
- Verificare di avere backup di ESXi e dei server virtuali offline e già provati con un ripristino.