С открытого тестового сервера скачали 27 резервных копий SQL Server
Рабочая директория оператора оказалась доступна через неаутентифицированное перечисление каталогов по HTTP на Linux-хосте промежуточного тестирования с IP-адресом 213.163.205.35. Хост находился в Сингапуре, в инфраструктуре UpCloud, и раздавал файлы через встроенный HTTP-сервер Python на порту 80. В журналах доступа зафиксировали скачивание 27 резервных копий SQL Server общим объёмом 68,837 ГиБ. Передача завершилась 6 сентября 2026 года и заняла 23 минуты 46 секунд.
Названия файлов указывали на системы, связанные с трудоустройством филиппинцев за рубежом и службами для мигрантов, включая POEA и OFW. Идентификация жертвы основана на именах файлов, а не на анализе содержимого резервных копий. Зафиксированная в журналах скорость передачи отличалась от рассчитанной по общему объёму и длительности. В отчёте расхождение объясняется использованием rclone для вычисления скользящего среднего значения.
Среди раскрытых материалов находились две сборки Wrqsnx, слегка модифицированной и переименованной версии публичного инструмента GodPotato. Он позволяет повысить привилегии учётной записи службы до уровня SYSTEM с помощью DCOM и RPC, не используя уязвимость Windows. Полезная нагрузка создаёт именованный канал с разрешениями, которые позволяют службе уровня SYSTEM установить соединение, и оставляет страницу памяти доступной для записи.
Восьмистрочный PowerShell-стагер восстанавливает полезную нагрузку из фрагментов base64 и загружает её в память в виде сборки .NET, не записывая DLL на диск. Одна из сборок была скомпилирована менее чем за семь минут до извлечения. В каталоге также находилась полная среда Impacket с инструментами для операций в Active Directory, удалённого выполнения команд и проверки возможности ретрансляции LDAP или MSSQL.
Свидетельств выполнения инструментов или полезной нагрузки не обнаружили. Резервные копии передали примерно за двадцать часов до извлечения первой полезной нагрузки. Этот интервал указывает, что полезную нагрузку не использовали для задокументированной кражи. Восстановленные материалы не позволяют установить вектор первоначального доступа, инфраструктуру управления или факт выполнения полезной нагрузки. Активность не атрибутировали известному злоумышленнику.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
