Cyberangriff auf philippinische Nuklearbehörde und Marine: ownCloud und WordPress als Einfallstor

Am 13. August 2026 entdeckten die Forscher von Hunt.io einen ungeschützten Server in Amsterdam (31.58.209[.]241), der ein Python-SimpleHTTP-Verzeichnis auf Port 8000 offenlegte. Das Verzeichnis enthielt 1.310 Dateien in 86 Ordnern mit insgesamt 1,17 GB: benutzerdefinierte Skripte, Übertragungsprotokolle, offensive Open-Source-Tools wie Sliver, Metasploit und Mettle sowie gestohlene Daten von zwei philippinischen Organisationen. Die Ergebnisse wurden mit CERT-PH unter der Einstufung TLP:AMBER geteilt, und die Veröffentlichung wurde auf den 25. August 2026 verschoben, um dem nationalen Response-Team Zeit zu geben, die Opfer zu benachrichtigen.

Ein Server in Amsterdam legt Skripte, Protokolle und Beute offen

Das offene Verzeichnis zeigte Ordner und Skripte mit Bezeichnungen in vereinfachtem Chinesisch zu Nuklearmaterial, Strahlenschutz, Finanzen und IT. Dieser Hinweis deutet auf einen chinesischsprachigen Akteur hin, erlaubt jedoch keine Zuordnung zu einer bestimmten Regierung oder Gruppe.

Der Angreifer verwendete zufällige Verzögerungen bei der Datensammlung, um das Datenaufkommen niedrig zu halten und verkehrsbasierte Warnungen zu umgehen. Auf dem Server befanden sich nur 176 Dateien mit etwa 372 MB, aber eine vom Angreifer erstellte CSV-Datei verwies auf rund 9 GB an Daten, die der Nuklearbehörde entwendet wurden, wovon der größte Teil in den aktuellen Verzeichnissen fehlte. Die Diskrepanz zeigt, dass der Server nur einen Bruchteil der Beute enthielt und dass der Zugriff des Akteurs wahrscheinlich umfassender war als das, was wiederhergestellt werden konnte.

Die zwei ausgenutzten Schwachstellen

Der Hauptangriffsvektor war offenbar der öffentlich erreichbare ownCloud-Dienst der Nuklearforschungseinrichtung. Die Schwachstelle CVE-2023-49105 (CVSS 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-287) betrifft ownCloud Server in Versionen vor 10.13.1, beginnend mit 10.6.0. Der Fehler ermöglicht es einem Angreifer, der einen gültigen Benutzernamen kennt, WebDAV-Anfragen zu erzeugen, die der Server als von diesem Benutzer stammend akzeptiert, ohne ein Passwort zu verlangen, wenn das Opfer keinen Signaturschlüssel für vorab signierte URLs konfiguriert hat.

Hunt.io fand fünf benutzerdefinierte Python-Skripte, die diese Technik implementieren: vier zielen auf einzelne Konten ab, eines kann Verzeichnisse aufzählen und jeden versuchten Download protokollieren. Das Fehlen eines robusten Signaturschlüssels macht den nicht authentifizierten Zugriff auf Dateien trivial.

Auf demselben Server wurde auch die Kompromittierung des philippinischen Schiffbau- und Marineingenieurunternehmens über CVE-2024-28000 (CVSS 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-266) im LiteSpeed-Cache-Plugin für WordPress in Versionen vor 6.4 (laut NVD-Beschreibung bis 6.3.0.1) festgestellt. Die Schwachstelle durch falsche Privilegienzuweisung ermöglicht es, ohne Authentifizierung ein Administratorkonto zu erstellen, indem ein vorhersehbarer Sicherheits-Hash in den REST-APIs ausgenutzt wird. Hunt.io stellte Exploit-Code, kompilierte Tools und Protokolle sicher, die die Kompromittierung mit Administratorrechten belegen. Zusätzlich nutzte der Angreifer die XML-RPC-Schnittstelle von WordPress, um Passwörter des Admin-Kontos gegen die Wortliste rockyou.txt zu testen, und fand gültige Zugangsdaten – eine Redundanz, um den Zugriff auch dann aufrechtzuerhalten, wenn einer der beiden Vektoren geschlossen würde.

Die Beute: Reaktoren, Personal und physische Zugänge

Die von der Nuklearbehörde exfiltrierten Daten umfassen Datenbanken zu Reaktorkomponenten, Brennstoffinventare, Dokumente zum Strahlenschutz, Vorfallsprotokolle, Listen autorisierter Benutzer, strategische Pläne, IT-Dokumente, Personalakten, Lebensläufe, Pass- und Reisedaten sowie Finanzdeklarationen philippinischer Amtsträger. Auf dem Server befanden sich außerdem eine KeePass-Datenbank, mit AxCrypt verschlüsselte Dateien und ein BitLocker-Wiederherstellungsschlüssel – Artefakte, die einen Datendiebstahl in einen Diebstahl von Zugangsdaten und eine langfristige Infiltration verwandeln können.

Ein 192 MB großer SQL-Dump aus einem ZKTeco-BioTime-Anwesenheits- und Personalsystem verknüpft Personen mit Ausweis-Badges, Abteilungen und Zugriffsprotokollen und ermöglicht so die Kartierung, wer wo arbeitet und wer sensible Zugänge hat. Eine CSV-Datei verwies zudem auf die Kompromittierung einer Projektmanagement-Anwendung, was auf ein mögliches drittes Opfer hindeutet.

CVE-2023-49105 wird in den KEV aufgenommen: Frist 30. August

Am 27. August 2026 hat die CISA CVE-2023-49105 in den Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen. US-Bundesbehörden haben bis zum 30. August 2026 Zeit, die Abhilfemaßnahmen gemäß den Herstellerangaben umzusetzen, entsprechend der Richtlinie BOD 26-04, oder die Nutzung des Produkts einzustellen, falls keine Patches verfügbar sind. Dieser Schritt bestätigt, dass die Schwachstelle aktiv ausgenutzt wird und nicht nur theoretischer Natur ist.

CVE-2024-28000 ist nicht im KEV-Katalog aufgeführt, obwohl die Nutzung bei diesem Angriff belegt ist. In den letzten 90 Tagen wurde für dieselben Hersteller – LiteSpeed Technologies und ownCloud – auch CVE-2026-54420 (am 15. Juni 2026) in den KEV aufgenommen, was auf eine Reihe kritischer Schwachstellen in den Produkten dieser Unternehmen hindeutet, die unter Beobachtung stehen.

Was zu tun ist: Patches, Konfigurationen und Indikatoren

Für ownCloud-Installationen behebt das Update auf Version 10.13.3 oder höher CVE-2023-49105. Es ist unerlässlich, einen robusten, nicht leeren Signaturschlüssel für vorab signierte URLs zu konfigurieren. In den WebDAV-Protokollen sollte nach verdächtigen PROPFIND-Anfragen zur Aufzählung, hohen Download-Volumina über mehrere Konten oder wiederkehrenden Anfragen von einer einzelnen Quelle mit künstlichen Intervallen gesucht werden: Auch eine Low-and-Slow-Sammlung bleibt eine Sammlung.

Für WordPress mit LiteSpeed Cache muss das Plugin auf Version 6.4 oder höher aktualisiert werden. Wenn nicht benötigt, sollte XML-RPC entfernt oder eingeschränkt werden. Administrator-Passwörter müssen einzigartig und komplex sein, und die Mehrfaktor-Authentifizierung sollte aktiviert werden.

Eine nicht zusammenhängende Ethereum-Injektion

Auf der kompromittierten WordPress-Website war außerdem eine aktive JavaScript-Injektion im Stil von EtherHiding vorhanden. Der Code verwendete einen Ethereum-Smart-Contract, um Inhalte abzurufen, zeigte eine gefälschte Google-Verifizierungsseite und leitete Besucher auf eine ClickFix-Infektion um. Ein Service Worker sorgte für Persistenz, und die Nutzlast sammelte Fingerprinting-Daten. Hunt.io identifizierte 174 eindeutige IP-Adressen mit denselben NoChain-Loadern und dem Verweis auf den Smart-Contract, aber die Beweise verbinden diese Aktivität nicht mit dem Akteur, der die Nuklear- und Marineziele angegriffen hat. Eine kompromittierte Website kann gleichzeitig mehrere Eindringlinge beherbergen, die von verschiedenen Akteuren betrieben werden.