Bilinmeyen bir operatörün Filipinler Yurtdışı İstihdam İdaresi'nden SQL Server yedeklerini yarım saatten kısa sürede dışarı aktardığı görülüyor.
Saldırıda kullanılan bir ara sunucunun analizine göre, bilinmeyen bir tehdit aktörü Filipinler Yurtdışı İstihdam İdaresi'ne ait hassas veritabanlarına erişim sağladı ve işçiler, sözleşmeler ve mali kayıtlar hakkında 69 GB bilgi dışarı aktardı.
Tehdit istihbaratı firması Hunt.io'nun 28 Ekim tarihli analizine göre saldırgan Singapur'da bulunan bir ara sunucuda bulunan günlüklerden yola çıkarak 24 dakikada yurtdışı istihdam vaka yönetimine ilişkin 27 yedek veritabanını kopyaladı. Bu veriler akreditasyon, sözleşmeler ve kasiyer ile LandBank kayıtlarını içeriyordu. Siber saldırganlar veriyi taşımak için GodPotato ve SeImpersonate adlı ayrıcalık yükseltme araçlarını ve Python için Impacket ağ kütüphanesini kullandı, ancak iz ara sunucuda sona erdi; bunu Hunt.io araştırma sorumlusu Esteban Borges söyledi.
Borges'e göre sunucu daha sonra erişilmiş, ancak kimin tarafından olduğu net değil. Hunt.io henüz verinin satışa sunulduğunu tespit etmedi; bilgi fark edilip kaldırılmış olabilir ama bu pek olası görünmüyor, diye ekledi.
"Yedeklerin ara sunucuda kaldığını iddia etmeyeceğim" dedi, bu yüzden "veri kurumun kontrolünden çıkarıldığı ve günlüğün aktarımın tamamlandığını gösterdiği için bu hâlâ bir sızıntı".
Bu, Filipin hükümeti verilerinin çalındığına dair kanıt bulan siber güvenlik firmaları için ilk kez yaşanan olay değil. Ağustos ayında Hunt.io, başka bir tehdit aktörünün çalışma alanını keşfetti; burada Filipin nükleer düzenleme kurumu ve bir deniz gemi inşa yüklenicisinden çalınan 1,2 GB veri vardı. Bir yıl önce Filipin polisi, küçük bir kasabanın belediye başkanını gözaltına aldı; kadının Çin vatandaşı olduğu, Filipinli gibi davranarak siber dolandırıcılık merkezi işlettiği ortaya çıkmıştı.
Mevcut olayın Çin ya da siber suç gruplarıyla ilgisi olup olmadığı net değil. Hunt.io kodun bazı bölümlerinde Çin diline ait parçalar buldu ancak bu kod üçüncü taraf bir yazılım kütüphanesine aitti; bu nedenle firma saldırıyı atfetmedi. Şirket yine de hem siber suçluların hem de devlet destekli rakiplerin kişisel tanımlanabilir bilgiden değer göreceğini söyledi.
Borges, "Bu tür göçmen işçi PII'si artı sözleşme ve ödeme verileri dolandırıcılık ve kimlik hırsızlığı için kullanışlı, dolayısıyla ticari değeri var" dedi. "Ayrıca bir diaspora nüfusunun ayrıntılı haritası; bu da bir devlet aktörünün ilgisini çekebilir."
Üst Düzey Değil, Amatör Değil
Filipin hükümetine yönelik saldırılar hakkındaki son bilgi, Hunt.io araştırmacılarının Helsinki merkezli UpCloud Ltd. şirketinin Singapur adres alanında barındırılan bir sunucuda açık bir dizin keşfetmesinin ardından geldi; analizde belirtildi. Açık dizinde saldırıya ait araçlar ve günlük dosyaları vardı. Bunlar arasında GodPotato ayrıcalık yükseltme kütüphanesinin yeniden markalanmış bir sürümü, araçları bellekte açmak için PowerShell stager'ı ve tam Impacket Python ortamı bulunuyordu.
Hunt.io olayı doğrulanmış bir ihlal olarak değerlendirdi ancak çalışma zamanı telemetrisi eksikliği nedeniyle Borges saldırganın veriyi nereye taşıdığını söyleyemedi.
"Nasıl girdiklerini, yükün çalışıp çalışmadığını ve verinin nereye gittiğini hâlâ yanıtlayamıyoruz" dedi.
Yine de araçlar ve saldırganın süreci, bazı güçlü yeteneğe sahip ancak basit hatalar da yapan bir operatörü işaret ediyor, Borges belirtti.
"Yük mühendisliği yetkin, ancak operasyonel güvenlik zayıf — ara sunucuyu ve günlüklerini açıkta bıraktılar" dedi. "Araçları düzgün kurabilen ama kendi sunucusunu sessiz tutma konusunda dikkatsiz biriydi. Bunu üst düzey ya da amatör olarak adlandırmam."
Filipin İşçi Verileri Havada
Sızıntının etkisi, saldırganın kimliğine ve çalınan veriyle ne yapacağına bağlı olabilir. Hunt.io CERT Philippines ve Göçmen İşçiler Bakanlığı'nı bilgilendirdi ancak ulusal yanıtlara dair daha fazla detay vermeyi reddetti.
Borges, şimdiye kadar bilginin Dark Web'de satışa çıkmadığını söyledi.
"Yedeklerin satışa çıktığını ya da sızdırıldığını görmedik" dedi. "Yedeklerin kendilerini hiç açmadık."
Bölgedeki hükümetlerin kendi ağlarını taraması ve saldırı yüzeyini kilitlemesi gerekiyor, diye ekledi. Çok fazla ayrıcalığa sahip çalışanlar, SeImpersonate gibi araçların ağdaki varlıklara daha fazla erişim kazanmasına izin veriyor. Hunt.io ayrıca göçmen işçi portalının 445 numaralı SMB ve 5985 ile 47001 numaralı WinRM dahil olmak üzere bir dizi riskli portu açığa çıkardığını tespit etti.
