Um operador suspeito de língua chinesa explorou vulnerabilidades conhecidas no ownCloud e no WordPress para coletar informações sensíveis de um órgão de pesquisa nuclear filipino e de uma empresa de engenharia marítima que serve à Marinha das Filipinas. A intrusão mostra como sistemas expostos na internet podem expor dados com valor de segurança nacional. A atividade veio à tona após investigadores encontrarem um servidor acessível publicamente contendo ferramentas de ataque, logs de transferência e arquivos roubados.
Contexto do ataque e alvos
A coleção incluía registros relacionados a reatores, dados de funcionários, documentos de planejamento, lojas de credenciais criptografadas e um arquivo completo do site WordPress de um contratante naval. A Hunt.io identificou o servidor exposto em 13 de agosto e rastreou scripts nele para ataques contra as duas organizações filipinas. A Hunt.io disse em um relatório que as evidências apontam para um operador de língua chinesa, embora não tenha atribuído a campanha a um grupo nomeado.
A escala aparente é preocupante. Um inventário recuperado referia-se a cerca de 9 GB de dados retirados da agência nuclear, enquanto pesquisadores puderam recuperar diretamente 176 arquivos, cerca de 372 MB, em cinco pastas de staging. A diferença sugere que o servidor acessível mostrou apenas parte do esforço de coleta. O operador classificou os arquivos roubados em pastas rotuladas em chinês simplificado, incluindo categorias para finanças, segurança radiológica, contas de materiais nucleares e planejamento de TI.
Exploração do owncloud e bypass de autenticação
O serviço ownCloud auto-hospedado da agência nuclear foi acessado por meio do CVE-2023-49105, um bypass de autenticação no recurso de link pré-assinado da plataforma. Em instalações afetadas sem uma chave de assinatura configurada, os atacantes podem criar solicitações WebDAV aceitas para nomes de usuário conhecidos sem fornecer uma senha. Cinco scripts Python personalizados usaram essa fraqueza para baixar arquivos conta por conta. Eles também usaram solicitações de diretório WebDAV para descobrir pastas, inserindo pausas aleatórias curtas entre os downloads.
Essa abordagem medida reduziu a chance de que uma transferência grande e rápida se destacasse imediatamente no monitoramento de rotina. O material recuperado incluiu bancos de dados de componentes do núcleo do reator de pesquisa, informações de inventário de combustível, documentos de segurança radiológica, registros de incidentes, currículos de funcionários, registros de viagem e divulgações financeiras. Os investigadores também encontraram um banco de dados KeePass, arquivos criptografados AxCrypt e um PDF contendo uma chave de recuperação BitLocker, dados que poderiam auxiliar em tentativas de acesso posteriores.
Comprometimento do wordpress e criação de administradores
A segunda intrusão afetou uma empresa filipina de engenharia marítima e construção naval ligada a serviços navais. Os atacantes usaram o CVE-2024-28000 no plugin LiteSpeed Cache, uma falha que afeta versões anteriores a 6.4, para criar uma nova conta de administrador por meio da API REST do WordPress após derivar o hash de segurança do plugin. Os logs mostraram que o processo de exploração durou quase três horas e 45 minutos antes de encontrar um valor funcional e criar a conta.
Os atacantes também miraram a interface XML-RPC do site com tentativas de senha contra a conta de administrador, registrando um par de credenciais bem-sucedido em um arquivo de saída separado. Eles estagiaram três arquivos compactados totalizando 195 MB: a instalação completa do WordPress, seu banco de dados e a biblioteca de mídia. Tal saque pode expor hashes de senha, configurações de plugin e segredos do site, enquanto uma conta de administrador rogue dá ao intruso uma maneira direta de retornar.
Indicadores de comprometimento
Os investigadores encontraram um servidor aberto em 31.58.209[.]241:8000 usado para estocar ferramentas e dados roubados. Um endpoint de rede em 31.58.209[.]241:8090 foi usado para recuperar o payload de estágio dois. Um arquivo chamado multi_backupd foi encontrado como um carregador ELF de estágio um. O hash SHA-256 do arquivo é 7447d0d0c34779d4c519823b39bf6ddc16d2b34a226b82ee69da6f5b4a77ad82.
Outros indicadores incluem um contrato inteligente Ethereum 0x58460d0b3d4d6b03761c89120393c0c676676496 usado por um carregador estilo NoChain EtherHiding. URLs de entrega como fine-work-team[.]com/6272 e timelevel12[.]com/big entregaram um dropper VBS. Uma endpoint de telemetria snake.zooparkko[.]com/collect foi usada para receber dados de fingerprinting de visitantes.
Medidas de proteção
Organizações usando ownCloud devem atualizar para a versão 10.13.3 ou posterior, aplicar o patch do fornecedor e definir uma chave de assinatura forte. Operadores do WordPress devem atualizar o LiteSpeed Cache para 6.4 ou posterior, desabilitar ou restringir o XML-RPC quando não for necessário, usar senhas únicas e autenticação multifator, e revisar contas de administrador. As equipes também devem observar solicitações WebDAV PROPFIND incomuns em várias contas, um padrão de atividade relevante para campanhas de ataque ownCloud em andamento.
Perguntas frequentes
- Qual o risco principal? Roubo de dados sensíveis e acesso persistente via contas de administrador.
- Como prevenir? Atualize plugins, configure chaves de assinatura e monitore logs de acesso.
- Quem é o alvo? Setores de defesa, energia e infraestrutura crítica.