Артефакты указывают на доступ к системе единого входа МИД Вьетнама

В открытом каталоге по адресу 212.232.23.75:8877 находились 484 файла общим объёмом около 587 МБ. В них были скрипты разведки, код эксплуатации уязвимостей, журналы, выгрузки конфигураций, учётные данные, подготовленные полезные нагрузки и инструменты закрепления. Каталог размещался у провайдера в Сингапуре и работал на сервере SimpleHTTP на Python. Собранные материалы указывают на одного оператора, нацеленного на государственные сети Вьетнама, и на отдельную среду управления страхованием.

Активность в государственных сетях Вьетнама

Наиболее убедительные доказательства относятся к Министерству иностранных дел Вьетнама. Скрипты проверяли более 30 поддоменов и искали уязвимости в развертываниях SharePoint 2010, DotNetNuke, Telerik UI, GraphQL, Liferay и IdentityServer. Артефакты Keycloak указывают на доступ с правами администратора к среде единого входа министерства. Среди них были экспорт данных о сервере, конфигурации realm и токен realm-admin.

Оператор настроил поддельный провайдер федерации LDAP, связанный с инфраструктурой атакующего, проверял выполнение команд на основе JavaScript и использовал путь к пользовательской теме, доступной для записи. Попытки SSRF через Keycloak были нацелены на внутренние сервисы Redis, Docker, Spring Cloud Gateway, Jolokia, Elasticsearch, Grafana, RabbitMQ, Prometheus и Kubernetes. Зафиксированные исходящие запросы подтверждают, что этап SSRF достиг инфраструктуры, контролируемой атакующим. Успешное создание контейнеров или выполнение команд не продемонстрировано.

Другие скрипты были направлены на инфраструктуру Check Point. Они содержали попытки обхода аутентификации VPN и эксплуатации серверов управления, связанные с CVE-2026-50751 и CVE-2026-91843. В набор также входили средства перечисления имён пользователей VPN и артефакты сессий.

Отдельные скрипты проводили распыление паролей и разведку систем Exchange, связанных с Министерством общественной безопасности Вьетнама. Кроме того, они нацеливались на портал отчётности Министерства строительства, используя сканирование портов и функциональность обратного шелла.

Подтверждённая активность в страховой среде

Отдельный подтверждённый кластер активности затрагивал страховую платформу по адресу 113.160.10.154. Журналы событий фиксируют извлечение производственных артефактов MinIO, в том числе образов контейнеров бэкенда и фронтенда, а также попытки доступа к базе данных. В журналах также отмечена аутентификация по протоколу SMB на инфраструктуре злоумышленника, соответствующая принудительной аутентификации, и трафик Java JRMP, направленный на слушатель десериализации.

Набор инструментов для этой активности включал:

• методы выполнения команд в MSSQL;
• механизмы закрепления в MinIO;
• полезную нагрузку для десериализации Java;
• средства повышения привилегий в Windows, включая GodPotato, JuicyPotato и PrintSpoofer.

Имеющиеся доказательства подтверждают доступ к указанным системам и взаимодействие с ними, но не подтверждают успешное выполнение каждого подготовленного эксплойта или полезной нагрузки.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.