Скрипты искали в DeHashed данные госорганов Нигерии и Кении

6 июня 2026 года открытый каталог на IP-адресе Google Cloud 34.146.124.239:8888 раскрыл многоэтапную кампанию против государственной инфраструктуры. В каталоге находились 422 файла общим объёмом около 268 МБ. Наибольшее внимание уделялось организациям из Нигерии и Кении, а связанное сканирование затрагивало государственные системы Аргентины, Бразилии, Ирака и Киргизии. Имеющиеся материалы не подтверждают массовую компрометацию учётных записей и не позволяют приписать активность конкретной группе.

Разведка и проверка учётных данных

Семнадцать Python-скриптов автоматизировали поиск в сервисе утечек данных DeHashed учётных данных, связанных с доменами, ведомствами и сотрудниками государственных органов Нигерии и Кении. Скрипты использовали браузер Camoufox с функцией анти-фингерпринтинга для обхода детекции ботов, сбора результатов поиска и компиляции учётных данных для последующего тестирования.

Списки слов были сфокусированы на следующих организациях:

• Министерстве обороны Нигерии;
• Министерстве по делам полиции;
• FAAN;
• Парламенте Кении.

Инструменты брутфорса были направлены на следующие точки входа:

• страницы входа в WordPress;
• /xmlrpc.php;
• веб-почту;
• cPanel;
• административные пути.

Артефакты сессий указывают на успешный доступ или активность входа в порталы, связанные с FAAN, NCDC, NDIC, NIMC, Верховным судом Нигерии и JAMB.

Сканирование государственных систем

Скрипты разведки резолвили домены, идентифицировали системы, защищённые Cloudflare, собирали HTTP-заголовки и технологические заголовки, а также тестировали типовые пути входа в систему. Инструментарий из Нигерии охватил 198 доменов и выявил 68 доступных HTTP-сервисов.

Сканирование из Аргентины выявило WordPress 6.3.8 на муниципальном сайте Пилара, открытое XML-RPC, доступный файл debug.log и три имени пользователей через JSON API WordPress. Другие скрипты проверяли муниципальные порталы Бразилии и более 30 государственных доменов Ирака.

Среди артефактов также находились ссылки на открытый файл wp-config.php.bkp и устаревший плагин WPBakery/JS Composer.

Эксплуатация Java и управление

Оператор поддерживал инструменты эксплуатации уязвимостей в Java на основе ysoserial. Они включали следующие цепочки:

• C3P0;
• ROME;
• BeanShell;
• JRMP;
• URLDNS;
• Spring;
• CommonsCollections.

Полезные нагрузки содержали ссылки на конечные точки для обратного вызова и выполнения команд на порту 8080, включая внешние сервисы взаимодействия и HTTP-запросы, выполняющие команды, такие как whoami.

Снимок оболочки свидетельствовал об управлении через Телеграм, использовании фреймворка Hermes AI browser-agent, ретрансляторов Cloudflare Worker и имени пользователя Linux wonghunghingp. Комментарии и вывод консоли на китайском языке указывают на китайскоязычного оператора.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.