Un attaccante ha copiato quasi 69 GB di dati della Philippine Overseas Employment Administration, sottraendoli al controllo dell'agenzia. Lo riferiscono i ricercatori di Hunt.io in un'analisi ripresa da Dark Reading. Il trasferimento ha riguardato 27 database di backup legati all'occupazione all'estero, con informazioni su lavoratori, contratti e dati finanziari esposte al rischio di uso improprio.
L'analisi di Hunt.io, datata 28 ottobre, ha rilevato log che mostrano come i backup siano stati copiati in 24 minuti su un server di staging a Singapore, un sistema intermedio usato per conservare dati. I database riguardavano la gestione delle pratiche per l'occupazione all'estero, comprese le registrazioni di accreditamento, i contratti, la cassa e i dati LandBank. Hunt.io non ha aperto i backup, quindi la sua valutazione si basa sui log esposti e su altri artefatti.
I risultati riguardano i lavoratori all'estero le cui informazioni potrebbero essere conservate in quei sistemi, e i funzionari incaricati di proteggerle. Esteban Borges, responsabile della ricerca di Hunt.io, ha dichiarato a Dark Reading che i dati personali dei lavoratori migranti, combinati con quelli su contratti e pagamenti, potrebbero favorire frodi e furti d'identità. Ha inoltre affermato che il quadro dettagliato di una popolazione della diaspora potrebbe interessare un attore statale.
Il server esposto ha rivelato il trasferimento
I ricercatori hanno scoperto una directory accessibile pubblicamente su un server nello spazio di indirizzi singaporiano di UpCloud Ltd, società di hosting con sede a Helsinki. La directory conteneva strumenti di attacco e file di log, che hanno permesso a Hunt.io di avere un quadro dell'operazione.
Tra gli strumenti c'era una versione rimarchiata di GodPotato, usata per l'escalation dei privilegi, cioè per ottenere permessi maggiori su un sistema, e uno stager PowerShell progettato per decomprimere gli strumenti in memoria. I ricercatori hanno inoltre trovato un ambiente Python completo per Impacket, una libreria per interagire con i servizi di rete. Hunt.io descrive l'operazione come un'attività che ha usato GodPotato, le funzionalità SeImpersonate e Impacket per ottenere l'accesso e spostare i dati.
I log del trasferimento hanno portato Hunt.io a classificare l'incidente come compromissione confermata. Tuttavia, la mancanza di telemetria in fase di esecuzione ha lasciato irrisolti il metodo di accesso iniziale e l'esecuzione del payload scoperto. La data dell'analisi, il 28 ottobre, segna la divulgazione dei risultati e non una data accertata dell'intrusione.
Borges ha descritto l'operatore come tecnicamente capace ma poco attento a nascondere l'infrastruttura. Secondo lui, la costruzione del payload era competente, ma lasciare il server di staging e i suoi log accessibili pubblicamente ha esposto l'operazione.
La traccia si fermava a quel server. Successivamente vi ha avuto accesso una parte non identificata, e Borges non è riuscito a stabilire dove siano finiti alla fine i backup. Quando Dark Reading ha riportato i risultati, Hunt.io non aveva visto i dati in vendita né pubblicati in una fuga di dati.
Nessuna attribuzione, ma preoccupazioni concrete sull'esposizione
Hunt.io non ha attribuito l'attacco. Nel codice di una libreria software di terze parti comparivano frammenti in cinese, il che non offriva ai ricercatori alcuna base per identificare un operatore cinese. Sia i criminali sia gli attori sostenuti da uno Stato potrebbero trovare valore in queste informazioni, ha affermato Borges.
La scoperta segue quella di agosto di Hunt.io, relativa a un altro spazio di lavoro di un attaccante che conteneva strumenti e 1,2 GB di dati rubati a un'agenzia filippina di regolamentazione nucleare e a un'azienda di cantieristica navale.
Hunt.io ha informato CERT Philippines, il team nazionale di risposta alle emergenze informatiche, e il Department of Migrant Workers. L'azienda ha rifiutato di fornire ulteriori dettagli sulla risposta nazionale.
Per gli amministratori governativi, Borges raccomanda di scansionare le proprie reti e di ridurre i servizi esposti e i privilegi eccessivi degli account. Hunt.io ha rilevato che il portale dei lavoratori migranti esponeva SMB, un servizio Windows di condivisione file, sulla porta 445, e WinRM, la gestione remota di Windows, sulle porte 5985 e 47001. Gli amministratori dovrebbero verificare queste esposizioni e limitare i permessi non necessari, che, secondo Borges, possono consentire agli attaccanti che usano funzionalità di impersonificazione, come SeImpersonate, di raggiungere un numero maggiore di risorse di rete.
