Un attaquant a copié près de 69 Go de données de la Philippine Overseas Employment Administration, hors du contrôle de l'agence, selon une analyse des chercheurs de Hunt.io relayée par Dark Reading. Le transfert a porté sur 27 bases de données de sauvegarde liées à l'emploi à l'étranger, ce qui expose les informations sur les travailleurs, les contrats et les données financières à un risque d'usage abusif.
L'analyse de Hunt.io datée du 28 octobre a relevé des journaux montrant que les sauvegardes ont été copiées en 24 minutes vers un serveur de transit à Singapour, un système intermédiaire servant à stocker des données. Les bases couvraient la gestion des dossiers d'emploi à l'étranger, notamment l'accréditation, les contrats, la caisse et les registres LandBank. Hunt.io n'a pas ouvert les sauvegardes : son évaluation repose donc sur les journaux exposés et d'autres artefacts.
Ces constats concernent les travailleurs à l'étranger dont les informations peuvent figurer dans ces systèmes, ainsi que les responsables chargés de les protéger. Le responsable de la recherche chez Hunt.io, Esteban Borges, a expliqué à Dark Reading que les informations personnelles des travailleurs migrants, combinées aux données de contrat et de paiement, pourraient favoriser la fraude et l'usurpation d'identité. Il a aussi estimé que le profil détaillé d'une population de la diaspora pourrait intéresser un acteur étatique.
Un serveur exposé a révélé le transfert
Les chercheurs ont découvert un répertoire librement accessible sur un serveur situé dans l'espace d'adressage singapourien de l'hébergeur UpCloud Ltd, basé à Helsinki. Ce répertoire contenait des outils d'attaque et des fichiers journaux, qui ont donné à Hunt.io une vue d'ensemble de l'opération.
Les outils comprenaient une version rebaptisée de GodPotato, utilisée pour l'élévation de privilèges, c'est-à-dire l'obtention de permissions plus élevées sur un système, ainsi qu'un stager PowerShell conçu pour décompresser des outils en mémoire. Les chercheurs ont également trouvé un environnement Python complet pour Impacket, une bibliothèque permettant d'interagir avec des services réseau. Hunt.io a décrit l'opération comme s'appuyant sur GodPotato, sur les capacités SeImpersonate et sur Impacket pour obtenir l'accès et déplacer les données.
Les journaux de transfert ont conduit Hunt.io à classer l'incident comme une compromission confirmée. Toutefois, l'absence de télémétrie d'exécution a laissé non élucidés la méthode d'entrée initiale et l'exécution de la charge utile découverte. La date d'analyse du 28 octobre correspond à la divulgation des constats, et non à une date établie de l'intrusion.
Borges a qualifié l'opérateur de techniquement capable, mais négligent quant à la dissimulation de son infrastructure. La conception de la charge utile était compétente, a-t-il précisé, mais le fait de laisser le serveur de transit et ses journaux accessibles a exposé l'opération.
La piste s'arrête à ce serveur. Une partie non identifiée y a accédé plus tard, et Borges n'a pas pu établir où les sauvegardes ont fini par aller. Hunt.io n'avait constaté ni mise en vente ni publication dans une fuite lorsque Dark Reading a relayé les constats.
Aucune attribution, mais des risques d'exposition concrets
Hunt.io n'a pas attribué l'attaque. Des fragments en chinois figuraient dans du code provenant d'une bibliothèque logicielle tierce, ce qui ne permet pas aux chercheurs d'identifier un opérateur chinois. Des criminels comme des acteurs soutenus par un État pourraient trouver de la valeur dans ces informations, a déclaré Borges.
Cette découverte fait suite à celle de Hunt.io, qui avait relevé en août l'espace de travail d'un autre attaquant contenant des outils et 1,2 Go de données volées à une agence philippine de réglementation nucléaire et à un sous-traitant de la construction navale maritime.
Hunt.io a informé CERT Philippines, l'équipe nationale de réponse aux urgences informatiques, ainsi que le Département des travailleurs migrants. L'entreprise a refusé de fournir davantage de détails sur la réponse nationale.
Aux administrateurs gouvernementaux, Borges recommande d'analyser leurs réseaux, de réduire les services exposés et de limiter les privilèges de comptes excessifs. Hunt.io a constaté que le portail des travailleurs migrants exposait SMB, un service de partage de fichiers Windows, sur le port 445, ainsi que WinRM, la gestion à distance de Windows, sur les ports 5985 et 47001. Les administrateurs devraient examiner ces expositions et restreindre les permissions inutiles, ce qui, selon Borges, peut permettre à des attaquants utilisant des capacités d'usurpation comme SeImpersonate d'atteindre davantage de ressources du réseau.
