Innerhalb von 24 Minuten kopierte der Angreifer laut Hunt.io 27 Backup-Datenbanken mit Informationen aus der Fallbearbeitung zur Auslandsbeschäftigung, darunter Akkreditierungen, Verträge sowie Kassen- und LandBank-Aufzeichnungen. Für die Bewegung der Daten kamen Werkzeuge zur Rechteausweitung zum Einsatz – namentlich GodPotato und SeImpersonate – sowie die Python-Netzwerkbibliothek Impacket. Die Spur endet allerdings am Staging-Server, sagt Esteban Borges, Forschungsleiter bei Hunt.io.

Der Server sei später erneut angesteuert worden, von wem, sei unklar. Hunt.io hat die Daten bislang nicht zum Verkauf angeboten gefunden; möglich sei, dass sie entdeckt und entfernt wurden, das erscheine aber unwahrscheinlich. “Ich behaupte nicht, dass die Backups auf dem Staging-Server stehen geblieben sind”, sagt Borges. Es bleibe “trotzdem ein Datenabfluss, da die Daten aus der Kontrolle der Behörde heraus kopiert wurden und das Protokoll den abgeschlossenen Transfer zeigt”.

Aufmerksam wurden die Forscher auf den Vorfall, als sie ein offenes Verzeichnis auf einem Server entdeckten, der im singapurischen Adressraum des in Helsinki ansässigen Anbieters UpCloud Ltd. gehostet war. Das Verzeichnis enthielt Werkzeuge und Logdateien des Angriffs, unter anderem eine umbenannte Variante der Privilegienausweitungs-Bibliothek GodPotato, einen PowerShell-Stager zum Entpacken von Werkzeugen im Arbeitsspeicher sowie die vollständige Impacket-Python-Umgebung.

Hunt.io stuft den Vorfall als bestätigte Kompromittierung ein. Wegen fehlender Laufzeit-Telemetrie bleiben jedoch zentrale Fragen offen: “Wir können weiterhin nicht beantworten, wie sie hineingekommen sind, ob die Nutzlast ausgeführt wurde und wohin die Daten gegangen sind”, sagt Borges.

Die eingesetzten Werkzeuge und das Vorgehen deuten nach seiner Einschätzung auf einen durchaus fähigen Akteur hin, dem aber einfache Fehler unterliefen: “Die Entwicklung der Nutzlast ist kompetent, die operative Sicherheit dagegen schlecht – sie haben den Staging-Server und dessen Protokolle weit offen stehen lassen.” Es handle sich um jemanden, der ein Werkzeug sauber bauen könne, aber nachlässig damit umgehe, den eigenen Server unauffällig zu halten. “Ich würde das weder als Spitzenklasse noch als Amateurarbeit bezeichnen.”

Eine Zuordnung nahm Hunt.io nicht vor. Zwar fanden sich chinesischsprachige Fragmente in Teilen des Codes, diese gehörten jedoch zu einer Drittanbieter-Bibliothek. Ob China oder cyberkriminelle Gruppen hinter dem Vorfall stehen, ist damit offen. Wertvoll wären die Daten für beide Seiten: “Solche personenbezogenen Daten von Wanderarbeitern, dazu Vertrags- und Zahlungsdaten, eignen sich für Betrug und Identitätsdiebstahl, also haben sie kommerziellen Wert”, sagt Borges. “Es ist zugleich eine detaillierte Karte einer Diaspora-Bevölkerung, was einen staatlichen Akteur interessieren kann.”

Hunt.io informierte CERT Philippines (CERT-PH) und das Department of Migrant Workers (DMW), machte zu den nationalen Reaktionen aber keine weiteren Angaben. Im Darknet sind die Daten bislang nicht aufgetaucht: “Wir haben die Backups weder zum Verkauf noch in einem Leak gesehen”, sagt Borges. “Wir haben die Backups selbst nie geöffnet.”

Es ist nicht der erste Fund dieser Art bei philippinischen Behörden. Im August stieß Hunt.io auf den Arbeitsbereich eines anderen Angreifers mit einer Reihe von Werkzeugen und 1,2 GB Daten, die von einer philippinischen Atomaufsichtsbehörde und einem maritimen Schiffbau-Auftragnehmer stammten. Vor einem Jahr nahm die philippinische Polizei die Bürgermeisterin einer Kleinstadt fest, nachdem sich herausgestellt hatte, dass sie eine chinesische Staatsangehörige war, die sich als Filipina ausgab und ein Cyber-Betrugszentrum betrieb.

Regierungen in der Region sollten ihre eigenen Netze prüfen und ihre Angriffsfläche eingrenzen, empfiehlt Borges. Konten mit zu weitreichenden Rechten ermöglichten es Angreifern, mit Werkzeugen wie SeImpersonate weiteren Zugriff auf Ressourcen im Netz zu erlangen. Hunt.io stellte zudem fest, dass das Portal für Wanderarbeiter mehrere riskante Ports offenlegte, darunter SMB auf Port 445 und WinRM auf den Ports 5985 und 47001.