Attacco informatico a nucleare e Marina filippina: ownCloud e WordPress usati come vettore

Il 13 agosto 2026, i ricercatori di Hunt.io hanno individuato un server non protetto ad Amsterdam (31.58.209[.]241) che esponeva una directory Python SimpleHTTP sulla porta 8000. La directory conteneva 1.310 file in 86 cartelle, per un totale di 1,17 GB: script personalizzati, log di trasferimento, strumenti offensivi open source come Sliver, Metasploit e Mettle, e dati sottratti a due organizzazioni filippine. I risultati sono stati condivisi con CERT-PH con classificazione TLP:AMBER e la pubblicazione è stata posticipata al 25 agosto 2026, per dare al team di risposta nazionale il tempo di notificare le vittime.

Un server ad Amsterdam espone script, log e bottino

La directory aperta mostrava cartelle e script con etichette in cinese semplificato relative a materiali nucleari, sicurezza radiologica, finanza e IT. Questo indizio suggerisce un operatore di lingua cinese, senza però consentire un'attribuzione a un governo o gruppo specifico.

L'attaccante usava ritardi casuali nella raccolta dei dati per mantenere basso il volume e aggirare gli avvisi basati sul traffico. Sul server erano presenti solo 176 file per circa 372 MB, ma un CSV creato dall'attaccante faceva riferimento a circa 9 GB di materiale sottratto all'agenzia nucleare, la maggior parte assente dalle directory attuali. Lo scarto indica che il server conteneva solo una frazione del bottino e che l'accesso dell'operatore era probabilmente più ampio di quanto recuperato.

Le due vulnerabilità sfruttate

Il punto d'ingresso principale sarebbe stato il servizio ownCloud esposto a Internet dell'ente di ricerca nucleare. La falla CVE-2023-49105 (CVSS 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-287) riguarda ownCloud Server in versioni precedenti alla 10.13.1, a partire dalla 10.6.0. Il difetto consente a chi conosce un nome utente valido di generare richieste WebDAV che il server accetta come provenienti da quell'utente, senza richiedere password, quando la vittima non ha configurato una chiave di firma per gli URL pre-firmati.

Hunt.io ha trovato cinque script Python personalizzati che implementano questa tecnica: quattro mirati a singoli account, uno capace di enumerare directory e registrare ogni download tentato. L'assenza di una chiave di firma robusta rende banale l'accesso non autenticato ai file.

Sullo stesso server è emersa anche la compromissione della società filippina di ingegneria navale e cantieristica tramite CVE-2024-28000 (CVSS 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-266) nel plugin LiteSpeed Cache per WordPress in versioni precedenti alla 6.4 (fino alla 6.3.0.1 secondo la descrizione NVD). La falla di assegnazione impropria di privilegi permette di creare un account amministratore senza autenticazione sfruttando un hash di sicurezza prevedibile nelle REST API. Hunt.io ha recuperato codice exploit, strumenti compilati e log che mostrano la compromissione con privilegi amministrativi. In più, l'attaccante ha usato XML-RPC di WordPress per testare password dell'account admin contro la wordlist rockyou.txt e ha trovato credenziali valide: una ridondanza per mantenere l'accesso anche se uno dei due vettori fosse stato chiuso.

Il bottino: reattori, personale e accessi fisici

I dati esfiltrati dall'agenzia nucleare includono database di componenti di reattori, inventari di combustibile, documenti sulla sicurezza radiologica, registri di incidenti, elenchi di utenti autorizzati, piani strategici, documenti IT, fascicoli del personale, CV, dati di passaporto e di viaggio e dichiarazioni finanziarie di funzionari filippini. Sul server c'erano anche un database KeePass, file cifrati con AxCrypt e una chiave di ripristino BitLocker: artefatti che possono trasformare il furto di dati in furto di credenziali e intrusione a lungo termine.

Un dump SQL da 192 MB proveniente da un sistema di presenza e personale ZKTeco BioTime collega persone a badge identificativi, reparti e registri di accesso, permettendo di mappare chi lavora dove e chi ha accessi sensibili. Un CSV faceva inoltre riferimento alla compromissione di un'applicazione di project management, segnalando una possibile terza vittima.

CVE-2023-49105 entra nel KEV: scadenza 30 agosto

Il 27 agosto 2026, la CISA ha inserito CVE-2023-49105 nel catalogo Known Exploited Vulnerabilities (KEV). Le agenzie federali statunitensi hanno tempo fino al 30 agosto 2026 per applicare le mitigazioni secondo le indicazioni del vendor, in linea con la guidance BOD 26-04, oppure sospendere l'uso del prodotto se le correzioni non sono disponibili. La mossa conferma che la falla è sfruttata attivamente e non è solo teorica.

CVE-2024-28000 non risulta nel catalogo KEV, nonostante l'evidenza del suo uso in questo attacco. Negli ultimi 90 giorni, per gli stessi vendor — LiteSpeed Technologies e ownCloud — è entrata nel KEV anche CVE-2026-54420 (il 15 giugno 2026), a indicare una sequenza di vulnerabilità critiche nei prodotti di queste aziende sotto osservazione.

Cosa fare: patch, configurazioni e indicatori

Per le installazioni ownCloud, l'aggiornamento alla versione 10.13.3 o successiva risolve CVE-2023-49105. È essenziale configurare una chiave di firma robusta e non vuota per gli URL pre-firmati. Nei log WebDAV vanno cercate richieste PROPFIND sospette di enumerazione, volumi elevati di download su più account o richieste ricorrenti da una singola origine con intervalli artificiali: la raccolta low-and-slow resta pur sempre raccolta.

Per WordPress con LiteSpeed Cache, occorre aggiornare il plugin alla versione 6.4 o successiva. Quando non serve, XML-RPC va rimosso o limitato. Le password amministratore devono essere univoche e complesse, e va attivata l'autenticazione a più fattori.

Un'iniezione Ethereum non correlata

Sul sito WordPress compromesso era presente anche un'iniezione JavaScript attiva in stile EtherHiding. Il codice usava uno smart contract Ethereum per recuperare contenuti, mostrava una falsa pagina di verifica Google e indirizzava i visitatori verso un'infezione di tipo ClickFix. Un service worker garantiva persistenza e il payload raccoglieva dati di fingerprinting. Hunt.io ha individuato 174 indirizzi IP univoci con gli stessi loader NoChain e riferimento allo smart contract, ma le evidenze non collegano questa attività all'operatore che ha colpito gli obiettivi nucleari e navali. Un sito compromesso può ospitare più intrusioni contemporaneamente, gestite da attori diversi.