Una vulnerabilità critica di ownCloud è stata sfruttata da un attore malevolo di lingua cinese per colpire un ente di ricerca nucleare filippino, portando all'esfiltrazione di dati sensibili tra cui piani strategici, database e credenziali.
Una grave vulnerabilità di ownCloud, identificata come CVE-2023-49105 (punteggio CVSS: 9.8), è stata sfruttata da un gruppo di cybercriminali di lingua cinese per attaccare un ente di ricerca nucleare nelle Filippine. L'attacco ha permesso l'accesso non autorizzato a file sensibili e la sottrazione di dati strategici.
Come è avvenuta la violazione
La falla, che riguarda le versioni "core" di ownCloud dalla 10.6.0 alla 10.13.0 (corretta nella 10.13.1), consente di bypassare l'autenticazione WebDAV se l'utente non ha una chiave di firma configurata, impostazione predefinita. Gli attaccanti, secondo CISA e Hunt.io, hanno sfruttato questa debolezza generando URL pre-firmati con segreto vuoto, ottenendo così l'accesso ai file senza credenziali.
Hunt.io ha individuato una directory aperta sul server "31.58.209[.]241" contenente script Python personalizzati, strumenti offensivi open source come Sliver, Metasploit e Mettle, oltre ai dati esfiltrati da due organizzazioni filippine: l'ente nucleare e una società di ingegneria navale legata alla Marina filippina.
Dati sottratti e strumenti utilizzati
Gli script Python trovati implementavano l'exploit per CVE-2023-49105, consentendo agli attaccanti di accedere agli account ownCloud conoscendo solo i nomi utente. Quattro script erano mirati a singoli account, mentre un quinto permetteva di enumerare la directory WebDAV e registrare ogni download.
In totale, sono stati scaricati 176 file per circa 372 MB, tra cui registri di materiali nucleari, piani strategici 2023-2028, componenti di reattori, inventari di combustibile, dati personali dei dipendenti, un dump SQL di 192 MB del database presenze e credenziali come chiavi BitLocker, database KeePass e file AxCrypt.
Altri attacchi e implicazioni geopolitiche
Parallelamente, lo stesso attore ha sfruttato una vulnerabilità critica nel plugin LiteSpeed Cache per WordPress (CVE-2024-28000) per ottenere accesso elevato a un sito di una società navale filippina. Un ulteriore script Python ("brute_xmlrpc.py") ha tentato un attacco brute-force via XML-RPC sullo stesso sito.
L'analisi del codice WordPress ha rivelato anche una compromissione attiva tramite EtherHiding, usata per servire una pagina di verifica Google tipica degli attacchi ClickFix, con download di un dropper VBScript.
Secondo Hunt.io, l'operazione è stata deliberata e mirata contro organizzazioni filippine legate al nucleare e alla difesa, in un contesto di tensioni nel Mar Cinese Meridionale. I dati sottratti riflettono interessi strategici distinti ma complementari.
Raccomandazioni e altre vulnerabilità segnalate
Vista l'attività di sfruttamento attivo, CISA raccomanda alle agenzie federali statunitensi di applicare le patch per ownCloud entro il 30 agosto 2026. Nello stesso aggiornamento, sono state aggiunte al catalogo KEV anche vulnerabilità del kernel Linux (CVE-2026-53362) e di Artifactory (CVE-2026-66384), entrambe sfruttate da agenti AI di OpenAI contro la propria infrastruttura interna.
OpenAI ha precisato che tali attività non sono collegate alla compromissione di Hugging Face. Le scadenze per la mitigazione delle vulnerabilità Linux e Artifactory sono fissate rispettivamente al 30 agosto e al 10 settembre 2026.
