Wprowadzenie do problemu / definicja
Ujawniona kampania wymierzona w organizacje powiązane z filipińskim sektorem badań jądrowych oraz zapleczem technicznym marynarki wojennej pokazuje, że publicznie znane i załatane podatności nadal pozostają bardzo skutecznym wektorem ataku. W opisywanym przypadku napastnicy wykorzystali luki w ownCloud oraz we wtyczce LiteSpeed Cache dla WordPressa, a następnie skupili się na eksfiltracji danych o wysokiej wartości operacyjnej.
To kolejny przykład sytuacji, w której nie zaawansowane exploity typu zero-day, lecz opóźnienia w aktualizacjach, nadmierna ekspozycja usług internetowych i słaba ochrona kont uprzywilejowanych doprowadziły do poważnego incydentu bezpieczeństwa.
W skrócie
- Ataki objęły co najmniej dwa podmioty na Filipinach związane z obszarem nuklearnym i morskim.
- W jednym przypadku wykorzystano lukę CVE-2023-49105 w ownCloud do pobierania plików bez poprawnego uwierzytelnienia.
- W drugim incydencie użyto CVE-2024-28000 we wtyczce LiteSpeed Cache dla WordPressa, co umożliwiło przejęcie uprawnień administracyjnych.
- Dodatkowo odnotowano próby logowania przez XML-RPC z użyciem haseł słownikowych.
- W infrastrukturze operatora znaleziono skrypty, logi transferów, narzędzia ofensywne i próbki wykradzionych danych.
Kontekst / historia
Incydent wpisuje się w szerszy trend operacji cyberszpiegowskich ukierunkowanych na instytucje państwowe, wojskowe i krytyczne w regionie Azji Południowo-Wschodniej. Wysoka wartość celów została połączona z relatywnie prostymi technikami wejścia, co pokazuje, że skuteczność ataku często zależy bardziej od dyscypliny operacyjnej napastnika niż od stopnia technicznego wyrafinowania użytych narzędzi.
Szczególnie istotne jest to, że badacze natrafili na otwarty serwer operatora, na którym pozostawiono artefakty operacyjne. Dzięki temu możliwa była rekonstrukcja działań na podstawie realnych skryptów, logów i przechwyconych zbiorów danych, a nie wyłącznie na bazie pośrednich wskaźników kompromitacji.
Analiza techniczna
Kluczowym wektorem wejścia do środowiska powiązanego z badaniami nuklearnymi była luka CVE-2023-49105 w ownCloud. Błąd dotyczył obejścia uwierzytelnienia w interfejsie WebDAV i mechanizmu pre-signed URLs. W podatnych wdrożeniach niewłaściwa konfiguracja klucza podpisującego pozwalała generować żądania akceptowane przez serwer jako prawidłowo podpisane, co w praktyce umożliwiało pobieranie plików po poznaniu prawidłowej nazwy użytkownika.
Z ujawnionych artefaktów wynika, że atakujący korzystał z własnych skryptów w Pythonie do automatyzacji enumeracji katalogów i pobierania danych. Operacja była metodyczna: osobne skrypty przypisywano do konkretnych kont, a dodatkowe narzędzia dokumentowały przebieg pobrań i strukturę katalogów. Wdrożenie losowych opóźnień pomiędzy żądaniami utrudniało wykrycie aktywności przez proste mechanizmy analizy anomalii.
Wśród przejętych materiałów miały znajdować się dokumenty dotyczące bezpieczeństwa radiologicznego, inwentarze paliwa, elementy infrastruktury reaktorowej, listy użytkowników uprawnionych, plany strategiczne, dokumentacja IT oraz dane osobowe. Szczególnie alarmujące są również artefakty takie jak baza KeePass, pliki zabezpieczone przez AxCrypt oraz klucz odzyskiwania BitLocker, ponieważ mogą one posłużyć do dalszej eskalacji i utrzymania dostępu.
Drugi przypadek dotyczył środowiska WordPress należącego do firmy inżynierii morskiej obsługującej potrzeby filipińskiej marynarki wojennej. W tym scenariuszu wykorzystano CVE-2024-28000 we wtyczce LiteSpeed Cache. Podatność pozwalała na nieuwierzytelnione podniesienie uprawnień do poziomu administratora dzięki przewidywalnemu mechanizmowi walidacji skrótu w REST API. Po przejęciu uprawnień operator mógł uzyskać pełną kontrolę nad aplikacją, pobrać bazę danych, osadzić złośliwy kod lub utworzyć trwałe konto zapasowe.
Dodatkowo odnotowano wykorzystanie XML-RPC do testowania haseł administracyjnych przy użyciu publicznie znanych list słownikowych. Ten element potwierdza typową praktykę budowania nadmiarowych ścieżek dostępu. Nawet jeśli jedna metoda zostanie zablokowana, druga może nadal zapewniać możliwość ponownego wejścia do środowiska.
W analizowanym środowisku zauważono również osobny ślad kompromitacji przypominający wzorce EtherHiding i ClickFix, oparty na złośliwym JavaScript oraz mechanizmach service worker. Nie musi to oznaczać działania tego samego operatora, ale dobrze pokazuje, że pojedynczy zasób internetowy może zostać naruszony wielowarstwowo przez różnych aktorów zagrożeń.
Konsekwencje / ryzyko
Skala ryzyka wykracza w tym przypadku poza klasyczny wyciek dokumentów. Organizacje związane z sektorem nuklearnym i wojskowym przechowują dane techniczne, personalne i operacyjne, które mogą zostać wykorzystane do dalszego rozpoznania, szantażu, kompromitacji łańcucha dostaw, ataków ukierunkowanych oraz długofalowych działań wywiadowczych.
Ryzyko potęguje fakt, że wykorzystane podatności były już wcześniej publicznie znane. Oznacza to, że podobne środowiska w innych organizacjach mogą być narażone na identyczne scenariusze ataku. Obecność logów wskazujących na wieloetapową eksfiltrację sugeruje również, że rzeczywisty zakres wycieku mógł być większy niż ten zrekonstruowany na podstawie ujawnionych artefaktów.
Z perspektywy operacyjnej należy zakładać możliwość wtórnej kompromitacji, w tym użycia wykradzionych poświadczeń, pivotingu do innych segmentów sieci, podszywania się pod konta uprzywilejowane oraz prób ponownego wejścia po wdrożeniu tylko częściowych środków zaradczych.
Rekomendacje
Organizacje korzystające z ownCloud powinny pilnie zweryfikować wersję oprogramowania, stan aplikacji zależnych oraz konfigurację mechanizmu podpisywania adresów pre-signed URLs. Konieczne jest również przeprowadzenie audytu logów WebDAV pod kątem nietypowych żądań PROPFIND, masowych pobrań plików i długotrwałych sekwencji żądań rozłożonych w czasie.
W środowiskach WordPress należy niezwłocznie aktualizować wtyczki i komponenty cache, a XML-RPC ograniczyć lub wyłączyć tam, gdzie nie jest wymagany. Konta administracyjne powinny być zabezpieczone silnymi, unikalnymi hasłami oraz wieloskładnikowym uwierzytelnianiem. Warto także stale monitorować tworzenie nowych użytkowników, zmiany uprawnień, modyfikacje REST API i nietypowe operacje na bazie danych.
- przeprowadzenie przeglądu ekspozycji usług internetowych i używanych wersji oprogramowania,
- hunting pod kątem nieautoryzowanych transferów przez WebDAV,
- rotacja poświadczeń po każdej potwierdzonej kompromitacji aplikacji plikowej lub CMS,
- weryfikacja obecności archiwów, baz haseł i kluczy odzyskiwania w zasobach dostępnych dla użytkowników,
- analiza logów serwera WWW, SSH, REST API i XML-RPC,
- wdrożenie segmentacji oraz ograniczeń dostępu do systemów o wysokiej wartości,
- przygotowanie procedur reagowania na incydenty obejmujące eksfiltrację danych technicznych i personalnych.
Dobrą praktyką pozostaje także korelacja zdarzeń aplikacyjnych z ruchem sieciowym oraz monitorowanie niskowolumenowych, lecz systematycznych pobrań danych. Właśnie taki cichy model działania okazał się jednym z kluczowych czynników skuteczności opisywanej kampanii.
Podsumowanie
Opisana operacja stanowi wyraźne przypomnienie, że największe szkody w cyberbezpieczeństwie często wynikają nie z najbardziej zaawansowanych technik, lecz z konsekwentnego wykorzystania starych, niezałatanych błędów i zaniedbań w higienie dostępowej. Połączenie luki w ownCloud, podatności w LiteSpeed Cache oraz prób logowania przez XML-RPC stworzyło skuteczny łańcuch kompromitacji prowadzący do kradzieży danych o wysokiej wartości wywiadowczej.
Dla organizacji publicznych, obronnych i przemysłowych najważniejsza lekcja jest jednoznaczna: skuteczne zarządzanie poprawkami, twarda konfiguracja usług internetowych, pełna widoczność logów oraz szybka rotacja poświadczeń pozostają fundamentem odporności. Bez tych podstaw nawet dawno znane CVE mogą nadal prowadzić do incydentów o strategicznych konsekwencjach.