Un atacante copió casi 69 GB de datos de la Administración Filipina de Empleo en el Extranjero, fuera del control de la agencia, según un análisis de investigadores de Hunt.io, publicado por Dark Reading. La transferencia afectó a 27 bases de datos de copias de seguridad vinculadas al empleo en el extranjero, lo que pone en riesgo de uso indebido la información de trabajadores, contratos y datos financieros.
El análisis de Hunt.io del 28 de octubre encontró registros que muestran que las copias de seguridad se trasladaron en 24 minutos a un servidor de preparación en Singapur, un sistema intermedio usado para almacenar datos. Las bases de datos abarcaban la gestión de casos de empleo en el extranjero, con registros de acreditación, contratos, caja y LandBank. Hunt.io no abrió las copias de seguridad, así que su evaluación se basa en los registros expuestos y otros artefactos.
Los hallazgos importan a los trabajadores en el extranjero cuya información podría estar almacenada en esos sistemas, y a los funcionarios responsables de protegerla. Esteban Borges, responsable de investigación de Hunt.io, dijo a Dark Reading que la información personal de los trabajadores migrantes, combinada con datos de contratos y pagos, podría facilitar fraudes y robos de identidad. También afirmó que el perfil detallado de una población de la diáspora podría interesar a un actor estatal.
El servidor expuesto reveló la transferencia
Los investigadores descubrieron un directorio de acceso abierto en un servidor del espacio de direcciones de Singapur de UpCloud Ltd., empresa de alojamiento con sede en Helsinki. Contenía herramientas de ataque y archivos de registro, lo que dio a Hunt.io una visión de la operación.
Las herramientas incluían una versión con otra marca de GodPotato, usada para la escalada de privilegios (obtener mayores permisos en un sistema), y un stager de PowerShell diseñado para desempaquetar herramientas en memoria. Los investigadores también encontraron un entorno completo de Python para Impacket, una biblioteca para interactuar con servicios de red. Hunt.io describió la operación como un uso de GodPotato, de las capacidades de SeImpersonate y de Impacket para obtener acceso y mover datos.
Los registros de la transferencia llevaron a Hunt.io a clasificar el incidente como un compromiso confirmado, aunque la falta de telemetría en tiempo de ejecución dejó sin resolver el método de entrada inicial y la ejecución del payload encontrado. La fecha del análisis, el 28 de octubre, marca la divulgación de los hallazgos, no una fecha establecida para la intrusión.
Borges describió al operador como técnicamente capaz, pero descuidado a la hora de ocultar la infraestructura. Según dijo, la ingeniería del payload era competente, pero dejar el servidor de preparación y sus registros abiertamente accesibles expuso la operación.
El rastro terminó en ese servidor. Más tarde, una parte no identificada accedió a él, y Borges no pudo establecer adónde fueron finalmente las copias de seguridad. Hunt.io no había visto que se anunciaran a la venta ni que se publicaran en una filtración cuando Dark Reading informó de los hallazgos.
Sin atribución, pero con preocupaciones concretas de exposición
Hunt.io no atribuyó el ataque. Aparecieron fragmentos en chino en código de una biblioteca de software de terceros, lo que no dio a los investigadores base para identificar a un operador chino. Según Borges, tanto delincuentes como actores respaldados por Estados podrían encontrar valor en la información.
El descubrimiento sigue a un hallazgo de Hunt.io de agosto: el espacio de trabajo de otro atacante contenía herramientas y 1,2 GB de datos robados a una agencia reguladora nuclear filipina y a un contratista de construcción naval.
Hunt.io notificó a CERT Philippines, el equipo nacional de respuesta a emergencias informáticas, y al Departamento de Trabajadores Migrantes. La empresa no quiso dar más detalles sobre la respuesta nacional.
Para los administradores gubernamentales, Borges recomendó escanear sus redes y reducir los servicios expuestos y los privilegios excesivos de las cuentas. Hunt.io comprobó que el portal de trabajadores migrantes exponía SMB, un servicio de uso compartido de archivos de Windows, en el puerto 445, y WinRM, la gestión remota de Windows, en los puertos 5985 y 47001. Los administradores deberían revisar esas exposiciones y limitar los permisos innecesarios, que, según Borges, pueden permitir a atacantes que usen capacidades de suplantación como SeImpersonate llegar a más activos de la red.
