Gateway Check Point violati con PHP2Shell: sugli host VMware ESXi arriva un malware che cancella i dati

Una nuova campagna di attacchi, riportata da BleepingComputer, collega due pezzi centrali dell'infrastruttura aziendale: i gateway di sicurezza Check Point, che stanno al confine tra la rete interna e Internet, e i server VMware ESXi, le macchine che ospitano decine di server virtuali. Secondo la fonte, a essere colpite sono state istanze vulnerabili del Check Point Security Gateway, cioè installazioni non aggiornate o comunque esposte a una falla nota. L'operazione è stata ribattezzata PHP2Shell.

Il dettaglio che rende la vicenda più grave è l'esito dell'intrusione: sugli host ESXi è stato distribuito un wiper, un malware che cancella in modo deliberato i dati. A differenza del ransomware, che cifra i file per poi chiedere denaro, il wiper punta alla distruzione e di solito non lascia alcuna via di recupero se mancano copie di sicurezza affidabili. La fonte, nella parte disponibile, non chiarisce ogni passaggio tecnico: per questo in questo articolo ci atteniamo a ciò che è confermato e segnaliamo dove i dettagli mancano.

Dal firewall al cuore della virtualizzazione

Un security gateway è il dispositivo che filtra il traffico in ingresso e in uscita da una rete: fa da porta blindata, controlla chi entra e decide cosa passa. Proprio per questo ruolo è raggiungibile da Internet e, se ha una vulnerabilità, diventa un bersaglio appetibile per chi cerca un punto d'ingresso. Violare un apparato del genere significa mettere un piede dentro la rete che avrebbe dovuto proteggere.

Il passo successivo, stando alla notizia, ha portato gli aggressori fino ai server VMware ESXi. ESXi è un hypervisor, il software che permette a una sola macchina fisica di far girare molti server virtuali contemporaneamente. Colpirlo è efficace per chi attacca: un solo host compromesso può trascinare con sé tutte le macchine virtuali che ospita, con un impatto molto superiore a quello di un singolo computer.

Contro un wiper non c'è trattativa possibile: l'unica difesa è aver preparato il ripristino prima che l'attacco arrivi.

Che cosa significa PHP2Shell e perché un wiper cambia il quadro

PHP2Shell è il nome con cui la fonte identifica questi attacchi. Dal nome si può intuire un legame con il linguaggio PHP e con l'idea di ottenere una shell, cioè un accesso da riga di comando su un sistema remoto, ma si tratta di una lettura del nome e non di un dettaglio confermato dall'estratto. Per i dettagli tecnici della catena d'attacco, la vulnerabilità usata e l'eventuale attribuzione a un gruppo, conviene fare riferimento all'articolo originale e agli avvisi del produttore.

Quello che l'estratto afferma con chiarezza è la natura del carico finale: un malware che cancella dati. Il ransomware, per quanto devastante, lascia almeno la possibilità teorica di trattare o di ripristinare. Il wiper rimuove questa opzione. Per un'azienda il danno si misura in tempi di inattività e in informazioni perse, e la capacità di ripartire dipende quasi interamente dalla qualità dei backup, che devono essere conservati fuori dalla portata di chi controlla la rete.

Che cosa devono fare i difensori

La prima misura è ovvia ma decisiva: verificare che i Security Gateway Check Point siano aggiornati secondo le indicazioni del produttore e che le interfacce di gestione non siano esposte inutilmente a Internet. Chi gestisce apparati vulnerabili dovrebbe anche controllare eventuali segni di compromissione già avvenuta, perché installare la patch non rimuove un accesso che l'aggressore si è già costruito.

La seconda riguarda l'ambiente di virtualizzazione. Le interfacce di amministrazione di ESXi andrebbero raggiunte solo da una rete di gestione separata, con credenziali robuste e autenticazione a più fattori dove possibile. Vanno poi tenuti backup offline o immutabili, cioè non modificabili né cancellabili da remoto, e provati con ripristini periodici. Contro un wiper non esiste riscatto che tenga: la resilienza si decide prima dell'attacco.

Perché conta. La notizia mostra una catena di compromissione che parte da un dispositivo di perimetro e arriva all'infrastruttura di virtualizzazione, con un risultato distruttivo anziché estorsivo. Per le organizzazioni che usano Check Point e VMware ESXi è un promemoria concreto: aggiornare i dispositivi esposti, separare la gestione degli hypervisor e custodire backup davvero isolati non sono buone pratiche astratte, ma ciò che separa un incidente grave da una perdita irreversibile dei dati.