中国語話者とみられるハッカー集団が既知の脆弱性を悪用し、フィリピンの核研究機関とフィリピン海軍向けにサービスを提供する海洋エンジニアリング企業から機密データを窃取していたことが分かりました。
Hunt.ioの研究者は2026年8月13日、攻撃者が使用していた露出状態のサーバーを発見しました。このサーバーには、カスタムのエクスプロイトスクリプト、窃取されたファイル、ログ、攻撃用ツールなどが保管されていました。
今回の攻撃活動は、南シナ海における緊張の高まりと、フィリピン政府・国防・研究・インフラ関連組織を標的としたサイバースパイ活動が続く中で発覚しました。
攻撃者は、フィリピンの核研究機関が運用するインターネット公開のownCloudサーバーを標的にしていました。
悪用されたのはCVE-2023-49105で、これは事前署名URLの署名シークレットが空の状態になっている脆弱なバージョンのownCloudに影響する、重大な認証バイパスの脆弱性です。
攻撃者は5つのカスタムPythonスクリプトを使い、正規のownCloudユーザーになりすまし、アカウントのパスワードを必要とすることなくWebDAVインターフェース経由でファイルをダウンロードしていました。
これらのスクリプトはダウンロードの間にランダムな遅延を挟む仕組みも備えており、不審なトラフィックパターンを抑えて検知を回避する狙いがあったとみられます。
回収されたデータには、核物質の管理台帳、研究炉の炉心部品データベース、放射線安全に関する文書、安全マニュアル、戦略・IT計画書、従業員記録などが含まれていました。
窃取された資料には、履歴書、パスポート関連ファイル、海外渡航記録、財務開示書類、研修関連の文書も含まれていました。
研究者らは、認証情報に関連する資料も発見しています。これにはBitLockerの回復キー、KeePassデータベース、AxCryptで暗号化されたファイルなどが含まれていました。
回収されたスプレッドシートの中には、核関連機関から窃取されたとされる約9GB分のデータについての記載もあり、露出していたサーバー上のデータは窃取された情報全体のごく一部に過ぎない可能性が示唆されています。
攻撃者はファイルを簡体字中国語の名称が付いたフォルダに整理しており、財務、放射線安全、核物質管理台帳、IT計画といったラベルが確認されています。
スクリプト内に含まれる中国語のコメント、ログ、docstringから、攻撃の実行者は中国語話者である可能性が高いとみられます。
人事・勤怠管理プラットフォームであるZKTeco BioTimeの、192MB規模の別のデータベースダンプも発見されており、フィリピンの科学・研究関連組織に関連する記録が含まれていました。
こうしたデータは、攻撃者が職員の身元、入館証の割り当て、所属部署を特定し、今後のソーシャルエンジニアリングやサイバー攻撃の標的を選定する際に悪用される恐れがあります。
同じサーバーからは、フィリピン海軍にサービスを提供する海洋エンジニアリング・造船会社が別途侵害されていた痕跡も見つかっています。
攻撃者はLiteSpeed CacheのWordPressプラグインに存在する権限昇格の脆弱性CVE-2024-28000を悪用しました。この脆弱性により、有効なセキュリティハッシュを生成し、新規の管理者アカウントを作成することで、当該企業のWordPressサイトへの不正アクセスが可能になっていました。
攻撃者はまた、同サイトの管理者アカウントに対してXML-RPCによるパスワードの総当たり攻撃も行っていました。ログによると、この2つ目の手口によって有効な認証情報の特定に成功していたと、Hunt.ioは述べています。
注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無効化表記（例: [.]）にしています。再有効化する場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/philippine-nuclear-data-stolen/
