Attaque informatique contre le nucléaire et la Marine philippine : ownCloud et WordPress utilisés comme vecteurs

Le 13 août 2026, les chercheurs de Hunt.io ont découvert un serveur non protégé à Amsterdam (31.58.209[.]241) qui exposait un répertoire Python SimpleHTTP sur le port 8000. Le répertoire contenait 1 310 fichiers répartis dans 86 dossiers, pour un total de 1,17 Go : scripts personnalisés, journaux de transfert, outils offensifs open source tels que Sliver, Metasploit et Mettle, ainsi que des données volées à deux organisations philippines. Les résultats ont été partagés avec le CERT-PH sous la classification TLP:AMBER et la publication a été reportée au 25 août 2026 afin de laisser à l’équipe nationale de réponse le temps de notifier les victimes.

Un serveur à Amsterdam expose scripts, journaux et butin

Le répertoire exposé contenait des dossiers et des scripts étiquetés en chinois simplifié, relatifs à des matières nucléaires, à la sécurité radiologique, aux finances et à l’informatique. Cet indice suggère un opérateur de langue chinoise, sans toutefois permettre une attribution à un gouvernement ou à un groupe spécifique.

L’attaquant utilisait des délais aléatoires lors de la collecte des données pour maintenir un faible volume de trafic et contourner les alertes basées sur le trafic. Sur le serveur, seuls 176 fichiers pour environ 372 Mo étaient présents, mais un fichier CSV créé par l’attaquant faisait référence à environ 9 Go de matériel volé à l’agence nucléaire, la majorité étant absente des répertoires actuels. Cet écart indique que le serveur ne contenait qu’une fraction du butin et que l’accès de l’opérateur était probablement plus étendu que ce qui a été récupéré.

Les deux vulnérabilités exploitées

Le principal point d’entrée aurait été le service ownCloud exposé sur Internet de l’organisme de recherche nucléaire. La faille CVE-2023-49105 (CVSS 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-287) concerne ownCloud Server dans les versions antérieures à la 10.13.1, à partir de la 10.6.0. Ce défaut permet à quiconque connaît un nom d’utilisateur valide de générer des requêtes WebDAV que le serveur accepte comme provenant de cet utilisateur, sans exiger de mot de passe, lorsque la victime n’a pas configuré de clé de signature pour les URL pré-signées.

Hunt.io a identifié cinq scripts Python personnalisés mettant en œuvre cette technique : quatre ciblant des comptes individuels, un capable d’énumérer des répertoires et d’enregistrer chaque tentative de téléchargement. L’absence de clé de signature robuste rend l’accès non authentifié aux fichiers trivial.

Sur le même serveur, une compromission de la société philippine d’ingénierie navale et de construction navale a également été observée, via CVE-2024-28000 (CVSS 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-266) dans le plugin LiteSpeed Cache pour WordPress dans les versions antérieures à la 6.4 (jusqu’à la 6.3.0.1 selon la description NVD). Cette faille d’attribution incorrecte de privilèges permet de créer un compte administrateur sans authentification en exploitant un hachage de sécurité prévisible dans les API REST. Hunt.io a récupéré du code d’exploitation, des outils compilés et des journaux montrant la compromission avec des privilèges administratifs. De plus, l’attaquant a utilisé XML-RPC de WordPress pour tester les mots de passe du compte admin contre la wordlist rockyou.txt et a trouvé des identifiants valides : une redondance visant à maintenir l’accès même si l’un des deux vecteurs était fermé.

Le butin : réacteurs, personnel et accès physiques

Les données exfiltrées de l’agence nucléaire comprennent des bases de données de composants de réacteurs, des inventaires de combustible, des documents sur la sécurité radiologique, des registres d’incidents, des listes d’utilisateurs autorisés, des plans stratégiques, des documents informatiques, des dossiers du personnel, des CV, des données de passeport et de voyage, ainsi que des déclarations financières de fonctionnaires philippins. Le serveur contenait également une base de données KeePass, des fichiers chiffrés avec AxCrypt et une clé de récupération BitLocker : des artefacts qui peuvent transformer le vol de données en vol d’identifiants et en intrusion à long terme.

Un dump SQL de 192 Mo provenant d’un système de présence et de personnel ZKTeco BioTime relie des personnes à des badges d’identification, des départements et des journaux d’accès, permettant de cartographier qui travaille où et qui dispose d’accès sensibles. Un fichier CSV faisait par ailleurs référence à la compromission d’une application de gestion de projet, signalant une éventuelle troisième victime.

CVE-2023-49105 entre dans le KEV : échéance le 30 août

Le 27 août 2026, la CISA a ajouté CVE-2023-49105 au catalogue des vulnérabilités exploitées connues (KEV). Les agences fédérales américaines ont jusqu’au 30 août 2026 pour appliquer les mesures d’atténuation conformément aux instructions du fournisseur, en ligne avec la directive BOD 26-04, ou suspendre l’utilisation du produit si les correctifs ne sont pas disponibles. Cette démarche confirme que la faille est activement exploitée et n’est pas seulement théorique.

CVE-2024-28000 ne figure pas dans le catalogue KEV, malgré la preuve de son utilisation dans cette attaque. Au cours des 90 derniers jours, pour les mêmes éditeurs — LiteSpeed Technologies et ownCloud — CVE-2026-54420 a également été ajoutée au KEV (le 15 juin 2026), indiquant une succession de vulnérabilités critiques dans les produits de ces entreprises sous surveillance.

Que faire : correctifs, configurations et indicateurs

Pour les installations ownCloud, la mise à jour vers la version 10.13.3 ou ultérieure corrige CVE-2023-49105. Il est essentiel de configurer une clé de signature robuste et non vide pour les URL pré-signées. Dans les journaux WebDAV, il faut rechercher des requêtes PROPFIND suspectes d’énumération, des volumes élevés de téléchargements sur plusieurs comptes ou des requêtes récurrentes provenant d’une seule origine avec des intervalles artificiels : la collecte lente et discrète reste de la collecte.

Pour WordPress avec LiteSpeed Cache, le plugin doit être mis à jour vers la version 6.4 ou ultérieure. Lorsque cela n’est pas nécessaire, XML-RPC doit être supprimé ou limité. Les mots de passe administrateur doivent être uniques et complexes, et l’authentification multifacteur doit être activée.

Une injection Ethereum non liée

Sur le site WordPress compromis, une injection JavaScript active de style EtherHiding était également présente. Le code utilisait un smart contract Ethereum pour récupérer du contenu, affichait une fausse page de vérification Google et orientait les visiteurs vers une infection de type ClickFix. Un service worker assurait la persistance et le payload collectait des données de fingerprinting. Hunt.io a identifié 174 adresses IP uniques avec les mêmes chargeurs NoChain et la même référence au smart contract, mais les preuves ne relient pas cette activité à l’opérateur ayant ciblé les objectifs nucléaires et navals. Un site compromis peut héberger plusieurs intrusions simultanées, gérées par des acteurs différents.