Check Point раскрыла 12 ноября разрушительную атаку, в которой взлом сетевого шлюза через PHP2Shell стал входом к серверу VMware ESXi. В исследованном эпизоде злоумышленники запустили там destroy_v6 — программу для удаления файлов. Первая волна атак началась 30 октября против организаций в Израиле; более широкая волна 2 ноября затронула разные страны, но разрушительных действий в ней исследователи не обнаружили.

Сначала атакующие проникали через уязвимый портал удалённого доступа Mobile Access. Затем отдельная ошибка DynamicCLI позволяла повысить права до root, системного администратора. На шлюзе оставляли средства скрытого доступа, оттуда обследовали внутреннюю сеть и переходили на ESXi — сервер, на котором работают виртуальные машины. Таким образом, последствия выходили за пределы самого защитного устройства.

В отдельном уведомлении Check Point говорится примерно о двух десятках взломанных необновлённых систем в одном регионе. Это не число организаций и не число серверов с уничтоженными данными. Производитель сообщает, что исправление PHP2Shell было доступно с 23 октября, за неделю до атак, и рекомендует ноябрьский пакет Jumbo Hotfix. Установка патча закрывает уязвимость, но сама по себе не подтверждает устранение последствий уже состоявшегося взлома.

Найденные инструменты родственны шпионскому набору PhiliKit, который ранее связывали с китайской группой UNC5221. Однако Check Point не считает этого достаточным для уверенной атрибуции всей операции. Политическая записка, оставленная вместе с программой удаления, тоже не устанавливает исполнителя или мотив. Это отдельный эпизод после описанного ранее взлома межсетевых экранов: здесь исследователи проследили путь до разрушительной нагрузки на внутреннем сервере.