Атакующие использовали уязвимости IPT для взлома сервера JBRJ
Hunt.io обнаружила на малайзийском VPS с IP-адресом 111.90.145.92, размещённом у хостера Shinjiru Technology, три открытых каталога на портах 9998, 18080 и 18082. Их содержимое указывает на широкомасштабную хакерскую кампанию против организаций государственного сектора и исследовательских учреждений Бразилии, включая Instituto de Pesquisas Jardim Botânico do Rio de Janeiro (JBRJ), Коммерческую палату штата Сержипи (JUCEC), портал e-Simples и восемнадцать муниципальных советов штата Риу-Гранди-ду-Норти. В каталоге на порту 9998 найдены свидетельства подтверждённой компрометации сервера GBIF Integrated Publishing Toolkit (IPT) компании JBRJ.
Компрометация IPT и доступ к AWS
Атакующие скрипты эксплуатировали две уязвимости, которые оператор обозначил как CVE-2026-71880 и CVE-2026-71878. Первая связана с внедрением шаблонов на стороне сервера (server-side template injection) через FreeMarker в метаданные IPT. Она позволяла получать доступ к файлам и выполнять команды. Вторая была направлена на конечную точку setupDefaultAdministrator.do, через которую создавалась несанкционированная учётная запись администратора. Вариант с гонкой позволял обходить проверку источника запроса.
Дополнительные скрипты использовали возможности JDBC, DuckDB и dblink в IPT для чтения и записи произвольных файлов, а также выполнения команд. Скомпрометированную среду IPT использовали для доступа к сервису метаданных экземпляров EC2 (EC2 Instance Metadata Service) и получения временных учётных данных AWS для двух ролей IAM. Затем оператор перечислял сервисы AWS и запрашивал журналы CloudWatch.
Инструментарий также извлекал учётные данные и секреты из баз данных JBRJ, CKAN, CITSmart, Matomo, Fauna do Brasil и PostgreSQL, а также из файлов конфигурации приложений. Повторное использование паролей и слабые учётные данные позволили получить доступ к дополнительным базам данных, учётным записям сотрудников, ключам API и организационным токенам. Для закрепления в системе создавались скрытые каталоги для хранения украденных данных, настраивалось выполнение команд на основе JSP и устанавливались веб-шеллы. Кроме того, подготавливалась среда для локального повышения привилегий в ядре Linux.
Инструментарий против JUCEC
В каталоге на порту 18082 находился переиспользуемый набор инструментов, развёрнутый против JUCEC. В него входили 34 веб-шелла с общим захардкоженным ключом. Они поддерживали выполнение команд, доступ к файлам и просмотр содержимого каталогов в средах PHP, ASP.NET, JSP, Python и PowerShell.
Инструментарий применялся для разведки через Zimbra SOAP, распыления учётных данных (credential spraying), тестирования SMTP, доступа к почтовым ящикам, перечисления объектов Active Directory и анализа активности администраторов домена. Также он использовался для доступа по SMB, создания теневых копий с помощью WMI и извлечения файлов NTDS.dit, SYSTEM и SECURITY. На внутренних общих ресурсах и в резервных копиях велся поиск конфиденциальных документов.
Дополнительная активность затрагивала GLPI, osTicket, Openfire, SQL Server, ScriptCase и Google Cloud Directory Sync. Также проверялись браузерные сессии Gmail и аутентификационные данные, хранившиеся в Chrome. Для закрепления модифицировались задания cron GLPI, устанавливались PHP-веб-шеллы и создавалась замаскированная запланированная задача WaaSHealthCheck. Она копировала полезную нагрузку в корневые каталоги веб-сервера.
Повышение привилегий в Linux
На порту 18080 размещался набор инструментов для повышения привилегий в ядре Linux с использованием CVE-2026-31431 («Copy Fail»). В набор входили эксплойт, полезная нагрузка и код проверки уязвимости.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
