Atacuri cibernetice asupra echipamentelor Check Point și ESXi: Ce trebuie să știe firmele

Atacurile cibernetice nu mai vizează doar calculatoarele angajaților, ci lovesc direct în infrastructura centrală a unei companii. La Activ.NET Arad, discutăm frecvent cu patroni care cred că un firewall instalat acum câțiva ani le garantează imunitatea. Din păcate, realitatea ne arată că sistemele perimetrale și platformele de virtualizare sunt ținte din ce în ce mai vizate de hackeri, iar o singură vulnerabilitate netratată poate compromite întreaga rețea.

#Ce s-a întâmplat

În ultima perioadă, gateway-urile de securitate Check Point vulnerabile au fost vizate în atacuri cibernetice care au exploatat două vulnerabilități critice, cunoscute ca PHP2Shell (urmărite ca CVE-2026-109618 și CVE-2026-109619), ce permit execuția de cod la distanță fără autentificare. Potrivit datelor publicate, atacurile au început pe 30 octombrie, vizând inițial organizații din Israel, fiind urmate de un al doilea val la 2 noiembrie care a afectat companii din mai multe țări.

Atacatorii au folosit aceste breșe pentru a obține acces prin portalurile Mobile Access, combinându-le cu o vulnerabilitate de tip zero-day (CVE-2026-123039) pentru a obține acces de root. Ulterior, aceștia au instalat shell-uri web și componente de tip backdoor (TSGA și TSProxy) pentru a prelua controlul. În cazul atacurilor orientate spre distrugere, hackerii au scanat rețeaua internă pentru a identifica gazde VMware ESXi, pe care au implementat un program de tip wiper numit destroy_v6, destinat ștergerii datelor. Pe sistemele compromise au fost lăsate și mesaje cu caracter politic, confirmând că scopul principal a fost cauzarea de pagube și perturbarea activității, nu obținerea de răscumpărări.

#Impact pentru firme

Pentru o companie mică sau mijlocie, un astfel de atac reprezintă un coșmar. Dacă un echipament de securitate este compromis și atacatorii reușesc să ajungă la serverele interne VMware ESXi, consecințele înseamnă oprirea totală a activității, pierderea datelor și costuri mari de repornire de la zero. Multe firme din Arad și din țară depind de servere virtualizate pentru programe de gestiune, baze de date sau contabilitate. O întrerupere de acest gen blochează facturarea, relația cu clienții și operațiunile zilnice, punând în pericol afacerea.

#Recomandări concrete

Pentru a reduce riscul unor astfel de incidente, recomandăm administratorilor de sisteme și companiilor să ia măsuri imediate:

1. Aplicați urgent actualizările de securitate: Instalați cel mai recent Jumbo Hotfix furnizat de producător pe toate serverele de management și gateway-urile de securitate, acordând prioritate celor conectate la internet.
2. Auditați jurnalele de sistem: Verificați gateway-urile pentru semne de compromitere, cum ar fi fișiere de sesiune suspecte, procese necunoscute de tip CPconfigdaemon sau pauze inexplicabile în înregistrările firewall-ului.
3. Monitorizați conexiunile interne: Căutați orice activitate SSH neautorizată inițiată de la gateway către serverele interne VMware ESXi, aceasta fiind o dovadă clară de breșe în perimetrul intern.

Dacă infrastructura dumneavoastră necesită o evaluare sau doriți să vă asigurați că sistemele sunt configurate corect, echipa Activ.NET vă stă la dispoziție cu servicii dedicate de administrare servere și audit de securitate.

#Concluziile noastre

Incidentele de acest tip ne reamintesc că securitatea IT nu este un proiect de setat o dată și uitat, ci un proces continuu. La Activ.NET, subliniem mereu că un perimetru digital lăsat fără actualizări devine o țintă sigură. Investiția în mentenanță preventivă și în parteneri IT experimentați este singura modalitate prin care o companie își poate proteja operațiunile împotriva amenințărilor cibernetice.

Inspirat din: Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper