Contexte technique
Les passerelles de sécurité Check Point intègrent un module d'administration web basé sur PHP2Shell. Ce composant expose une interface de type shell via HTTP, permettant aux administrateurs d'exécuter des commandes système à distance. Dans les architectures classiques, le module s'exécute avec les privilèges du processus web, souvent root ou admin, ce qui crée une surface d'attaque importante si les contrôles d'accès sont mal configurés.
Mécanisme d'exploitation
Les attaquants ciblent les failles de validation d'entrée du module PHP2Shell. En injectant des caractères spéciaux dans les paramètres HTTP, ils contournent les filtres et injectent des chaînes de commande arbitraires. Cette technique permet d'installer le backdoor TSGA (Threat Secure Gateway Agent) sur la passerelle compromise. Le backdoor s’appuie sur des scripts PHP supplémentaires qui ouvrent une connexion persistante vers un serveur de commande et contrôle (C2), offrant ainsi un canal de contrôle complet.
Une fois le backdoor en place, les opérateurs malveillants exploitent la même chaîne d'exécution pour atteindre les hôtes virtualisés gérés par la passerelle, notamment les serveurs VMware ESXi. En invoquant des commandes de suppression de fichiers (rm -rf /vmfs/volumes/*), ils peuvent effacer les datastores ESXi, entraînant une perte de données irréversible et une interruption de service.
Impacts potentiels
Le scénario décrit combine trois vecteurs critiques : accès non autorisé à la passerelle, persistance via le backdoor TSGA et destruction de l’infrastructure de virtualisation. La compromission d’une passerelle Check Point peut permettre la manipulation du trafic réseau, la désactivation de politiques de sécurité et la capture de données sensibles. Le déploiement du backdoor ajoute une couche de furtivité, rendant la détection par les systèmes de prévention d’intrusion (IPS) plus difficile, surtout si le trafic C2 est chiffré ou masqué sous des protocoles légitimes.
La suppression de fichiers ESXi impacte directement la disponibilité des machines virtuelles hébergées. Sans sauvegarde récente, la restauration peut nécessiter plusieurs heures, voire jours, augmentant le risque de perte financière et de non‑conformité réglementaire.
Limites de l'information disponible
L'article source ne fournit pas de détails chiffrés tels que les versions exactes de PHP2Shell, les identifiants CVE, ni les dates d’incident. Aucun exemple de code d’exploitation n’est présenté, ce qui empêche une reproduction précise du vecteur d’attaque. En l’absence de ces données, l’analyse se base uniquement sur les composants nommés dans le titre et sur les pratiques habituelles observées dans des vulnérabilités similaires. Les lecteurs doivent donc considérer que les spécificités techniques restent à confirmer par des rapports de sécurité ou des bulletins officiels de Check Point.
