Ein Angreifer kopierte fast 69 GB Daten der philippinischen Behörde für Auslandsbeschäftigung (Philippine Overseas Employment Administration) aus deren Kontrollbereich. Das berichtete Dark Reading unter Verweis auf eine Analyse von Hunt.io. Der Transfer betraf 27 Backup-Datenbanken zur Auslandsbeschäftigung und setzte Informationen über Arbeitskräfte, Verträge und Finanzen einem Missbrauchsrisiko aus.
Die Analyse von Hunt.io vom 28. Oktober fand Protokolle, die zeigen, dass die Backups innerhalb von 24 Minuten auf einen Staging-Server in Singapur kopiert wurden, ein Zwischensystem zur vorübergehenden Speicherung von Daten. Die Datenbanken umfassten die Fallverwaltung für die Auslandsbeschäftigung, darunter Akkreditierungen, Verträge sowie Kassen- und LandBank-Datensätze. Hunt.io öffnete die Backups nicht, weshalb sich die Bewertung auf die offengelegten Protokolle und andere Artefakte stützt.
Die Erkenntnisse betreffen Arbeitskräfte im Ausland, deren Daten in diesen Systemen liegen könnten, ebenso wie die Behörden, die für deren Schutz zuständig sind. Esteban Borges, Forschungsleiter bei Hunt.io, sagte Dark Reading, dass persönliche Daten von Arbeitsmigranten in Verbindung mit Vertrags- und Zahlungsdaten Betrug und Identitätsdiebstahl begünstigen könnten. Außerdem sagte er, dass das detaillierte Bild einer Diaspora-Bevölkerung auch für einen staatlichen Akteur interessant sein könnte.
Offen erreichbarer Server verriet den Transfer
Forscher entdeckten ein offen zugängliches Verzeichnis auf einem Server im singapurischen Adressraum des in Helsinki ansässigen Hosting-Unternehmens UpCloud Ltd. Es enthielt Angriffswerkzeuge und Protokolldateien, durch die Hunt.io einen Einblick in die Operation erhielt.
Zu den Werkzeugen gehörte eine umbenannte Version von GodPotato, die der Rechteerweiterung dient, also dem Erlangen weitergehender Berechtigungen auf einem System, sowie ein PowerShell-Stager, der Werkzeuge im Arbeitsspeicher entpacken sollte. Die Forscher fanden außerdem eine vollständige Python-Umgebung für Impacket, eine Bibliothek für die Interaktion mit Netzwerkdiensten. Hunt.io beschrieb die Operation so, dass GodPotato, SeImpersonate-Fähigkeiten und Impacket genutzt wurden, um Zugang zu erlangen und Daten zu bewegen.
Anhand der Transferprotokolle stufte Hunt.io den Vorfall als bestätigte Kompromittierung ein. Da keine Laufzeit-Telemetrie vorlag, blieben jedoch der initiale Einstiegsweg und die Ausführung der gefundenen Payload ungeklärt. Das Analysedatum vom 28. Oktober markiert die Veröffentlichung der Erkenntnisse, nicht ein belegtes Datum des Eindringens.
Borges beschrieb den Akteur als technisch fähig, aber nachlässig beim Verschleiern der Infrastruktur. Die Entwicklung der Payload sei kompetent gewesen, sagte er, doch dadurch, dass der Staging-Server und seine Protokolle offen zugänglich blieben, sei die Operation aufgeflogen.
Die Spur endete bei diesem Server. Später griff eine nicht identifizierte Partei darauf zu, und Borges konnte nicht feststellen, wohin die Backups letztlich gelangten. Hunt.io hatte sie zum Zeitpunkt der Berichterstattung von Dark Reading weder zum Verkauf angeboten noch in einem Leak veröffentlicht gesehen.
Keine Zuordnung, aber konkrete Gefährdungen
Hunt.io ordnete den Angriff keiner Gruppe zu. Chinesischsprachige Fragmente tauchten im Code einer Drittanbieter-Softwarebibliothek auf, was den Forschern keine Grundlage gab, einen chinesischen Akteur zu benennen. Sowohl Kriminelle als auch staatlich unterstützte Akteure könnten an den Informationen interessiert sein, sagte Borges.
Der Fund folgt auf die Entdeckung von Hunt.io aus dem August: Der Arbeitsbereich eines anderen Angreifers enthielt Werkzeuge und 1,2 GB Daten, die einer philippinischen Behörde für Nuklearaufsicht und einem Auftragnehmer im maritimen Schiffbau gestohlen worden waren.
Hunt.io benachrichtigte CERT Philippines, das nationale Notfallteam für Computersicherheit, sowie das Department of Migrant Workers. Das Unternehmen lehnte es ab, weitere Details zur nationalen Reaktion zu nennen.
Für Verwaltungsbehörden empfahl Borges, ihre Netzwerke zu scannen sowie offen erreichbare Dienste und übermäßige Kontoberechtigungen zu reduzieren. Hunt.io stellte fest, dass das Portal für Arbeitsmigranten SMB, einen Windows-Dateifreigabedienst, auf Port 445 sowie WinRM, die Windows-Fernverwaltung, auf den Ports 5985 und 47001 offenlegte. Administratoren sollten diese Freigaben prüfen und unnötige Berechtigungen einschränken. Andernfalls könnten Angreifer, die Impersonation-Fähigkeiten wie SeImpersonate nutzen, so Borges, auf weitere Netzwerkressourcen zugreifen.
