Gateway Check Point violati con PHP2Shell: dietro l'attacco un wiper che distrugge i dati sugli host VMware ESXi

Secondo quanto riporta BleepingComputer, alcune installazioni vulnerabili di Check Point Security Gateway sono finite nel mirino di una serie di attacchi noti con il nome PHP2Shell. Un gateway di sicurezza è il dispositivo che sta al confine tra la rete interna di un'azienda e Internet: filtra il traffico, ospita spesso le connessioni VPN e, proprio per questo, è un bersaglio ambito. Chi ne prende il controllo ottiene una posizione privilegiata da cui guardare, e talvolta raggiungere, i sistemi che dovrebbe proteggere.

Il dato che rende il caso particolarmente serio è l'esito della catena di attacco: sugli host VMware ESXi è stato distribuito un malware di tipo wiper. Un wiper non cifra i file per chiedere un riscatto, come fa un ransomware: li cancella o li rende irrecuperabili. ESXi è il software che permette di far girare molte macchine virtuali su un solo server fisico. Colpirlo significa poter mettere fuori uso, in un colpo solo, un'intera infrastruttura aziendale.

Che cosa sappiamo di PHP2Shell

La fonte, nella parte disponibile, descrive PHP2Shell come il nome con cui sono identificati gli attacchi contro i gateway Check Point vulnerabili. Il termine richiama l'idea di una shell, cioè un accesso da riga di comando a un sistema, ottenuta in qualche modo a partire da componenti PHP, il linguaggio molto diffuso nelle interfacce web. Da questo, però, non è prudente ricavare dettagli tecnici che l'estratto non fornisce: quale falla sia stata usata, quante organizzazioni siano coinvolte e a chi si attribuisca la campagna sono punti da verificare nel resoconto completo e negli avvisi dei produttori.

Resta comunque un elemento chiaro: gli aggressori hanno preso di mira dispositivi che presentavano una vulnerabilità, cioè un difetto di programmazione sfruttabile dall'esterno. È uno schema classico, in cui il ritardo negli aggiornamenti fa la differenza tra un tentativo fallito e una compromissione. Più un apparato è esposto a Internet e più la finestra tra la scoperta di una falla e l'installazione della correzione diventa un rischio concreto.

Un wiper non chiede un riscatto: se i backup non sono fuori portata, i dati non tornano.

Dal perimetro ai server di virtualizzazione

Il passaggio da un gateway di rete agli host ESXi indica un movimento laterale, ossia la capacità di muoversi dentro la rete dopo il primo ingresso. La fonte parla di malware distruttivo distribuito su host VMware ESXi: questo suggerisce che gli attaccanti non si sono limitati a ottenere un punto d'appoggio sul bordo della rete, ma hanno puntato a ciò che di più prezioso c'è all'interno. Non abbiamo, dall'estratto, i dettagli su come sia avvenuto il salto da un sistema all'altro, e non li inventiamo.

Gli ambienti di virtualizzazione sono un obiettivo ideale per chi vuole fare danni su larga scala. Su un solo host possono convivere server di posta, database, applicazioni interne e sistemi di autenticazione. Se un wiper li raggiunge, il costo non si misura in singoli file persi ma in servizi che smettono di funzionare tutti insieme, con tempi di ripristino che dipendono interamente dalla qualità e dalla separazione dei backup.

Cosa devono fare i difensori

La prima misura è la più ovvia e la più trascurata: verificare che i gateway Check Point siano aggiornati secondo le indicazioni ufficiali del produttore e che l'accesso alle interfacce di gestione non sia raggiungibile liberamente da Internet. Conviene poi controllare i log del dispositivo alla ricerca di accessi anomali o di file inattesi, e trattare come potenzialmente compromesso ogni apparato che sia rimasto vulnerabile e visibile all'esterno mentre la campagna era attiva.

La seconda linea di difesa riguarda ESXi. Le interfacce di amministrazione dovrebbero stare su una rete di gestione separata, l'accesso da riga di comando (SSH e shell) dovrebbe restare spento quando non serve, e i backup devono essere conservati offline o comunque fuori dalla portata di chi controlla la rete di produzione. Contro un wiper non esiste un riscatto da pagare per riavere i dati: l'unica via di recupero è una copia che l'attaccante non ha potuto toccare.

# Versione e build di ESXi in uso
esxcli system version get

# Regole firewall attive: verificare che SSH e gestione siano limitati a reti fidate
esxcli network firewall ruleset list

# Timeout della shell: un valore diverso da 0 chiude le sessioni dimenticate aperte
esxcli system settings advanced list -o /UserVars/ESXiShellTimeOut

Perché conta. La vicenda mostra come un dispositivo di sicurezza di frontiera, se vulnerabile, possa diventare l'anello iniziale di un attacco distruttivo contro il cuore dell'infrastruttura virtualizzata. A differenza del ransomware, il wiper elimina la possibilità stessa di trattare: per le aziende contano quindi aggiornamenti tempestivi dei gateway, segmentazione delle reti di gestione e backup davvero isolati.