2026-11-01 02:13:56 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

黑客窃取菲律宾政府68GB数据，竟将传输日志与攻击工具“晒”在互联网

原创

网空闲话
网空闲话

网空闲话plus

2026年10月29日 07:21
北京

去阅读

导语：2026年10月28日，威胁情报平台Hunt.io发布报告称，一名操作者从菲律宾一家负责海外就业与移民劳工事务的政府机构复制了68.837 GiB的数据库备份，并将自己的传输日志、访问日志、工具包和载荷构建目录一并留在了一个未设认证的公开HTTP目录中。Hunt.io在该目录仍在对外服务时完成了捕获。这起窃密案之所以浮出水面，不是因为防守方检测到入侵，而是因为攻击者把自己的工作目录“挂”在了互联网上——一个21.1 MB的暂存目录，记录了68.837 GiB数据的完整转移过程。

一、基本情况：一次“自曝式”窃取

暴露的暂存服务器位于UpCloud Ltd（AS202053），IP为213.163.205[.]35，运行Python HTTP服务器（SimpleHTTP/0.6 Python/3.13.5），端口80启用目录列表，任何人访问即可浏览操作者的工作文件夹。访问日志显示，2026年9月6日至7日的16小时9分钟内，该目录共收到来自76个不同地址的543次请求。Hunt.io于9月7日13:47 UTC索引该目录，记录141个条目、112个文件和29个目录，总计21.1 MB，包括载荷构建器及其源码树、两个编译载荷、一个PowerShell stager、完整Impacket环境、一个小型Python上传接收器，以及操作者自己的日志。该服务器于次日下线，但捕获已完成。

关键时间线是：传输日志记录，27个SQL Server备份在2026年9月6日01:26:50完成复制，总量68.837 GiB，耗时23分46秒；而第一个载荷直到同日21:41:33才被拉取，约晚20小时。Hunt.io据此判断，载荷并非窃取机制，操作者在复制备份时已拥有足够访问权限。另有一条日志记录14小时后对已不存在的/data/chunk路径的失败尝试，说明收集与传输是分开组装、随后清理的。

日志中的速度数据存在内部矛盾：68.837 GiB除以23分46秒约为49.4 MiB/s，但rclone总结行显示20.238 MiB/s。Hunt.io解释，rclone的总结速度是完成时的滚动平均值，并非总字节除以耗时，因此两者均按日志原样报告。

二、数据类型：海外劳工管理系统备份与攻击工具链

被盗数据方面，27个备份文件名对应菲律宾海外就业与移民劳工管理机构的案件管理系统，包括POEA\_EServices、POEA\_HelpDesk、POEAHelpDeskDB、OFW和OfwDB，以及accreditation、repatriation、eContracts、Cashier和LandBank等变体。Hunt.io明确表示，这是基于文件名的语境评估，而非已确认的组织识别；未检查任何备份内容。BMonline、BMDB、BMContracts对应Balik-Manggagawa在线处理系统，OWMSDB对应OFW福利监测系统，其余如RepatriationDB、AgencyDB、AdjudicationDB仅从名称推断。捕获中不含组织标识、受害者主机名或凭据，备份内容未确立。报告援引菲律宾统计局数据称，2023年估计有216万海外菲律宾工人，这是这些系统覆盖的人群规模，不是备份记录数。

攻击工具链方面，载荷是公开可用的.NET工具GodPotato，通过DCOM和RPC将服务账户权限提升为SYSTEM，无需Windows漏洞。操作者将其重建为Wrqsnx，重命名了命名空间、上下文类、管道路径和程序集元数据，但保留了源文件名和部分内部字段名。微软平台将其检测为Trojan:MSIL/GodPotato.FF!MTB。stager是八行PowerShell，从C:\Users\Public按文件名顺序收集p\_\*.b64片段，拼接、去空白、内存解码、加载为.NET程序集并调用Main，全程不写DLL到磁盘。两个载荷来自不同编译器（Mono的mcs和微软Roslyn），第二个于9月6日22:48:01编译、22:54:44被取走，间隔不到7分钟；Hunt.io推测是为规避哈希阻断，但日志未说明。源码树与服务归档是同一11个文件的逐字节副本，但源码树无法构建：它调用归档中不存在的Sunday辅助类，项目文件声明的.NET版本也低于其产出的二进制。

载荷执行时读取C:\Users\Public\ptcmd.txt中的base64命令，解码后以cmd.exe /c在窃取的SYSTEM令牌下运行，输出回传至控制台，并写入完成标记SHELL\_DONE；stager完成标记为POTATO\_FIRED。命名管道为.\pipe\Wrqsnx\pipe\epmapper，创建时授予Everyone完全控制——这是该技术依赖的条件，而非疏忽。一个关键取证细节是：载荷将combase.dll中的调度表页面设为可写，进程退出后页面保护未恢复，这一四字节改动可绕过扫描注入代码的工具，是该工具在主机上留下的最清晰痕迹。

三、基础设施与请求方：谁访问了目录

Hunt.io将访问日志中的六个地址按角色区分。213.163.205[.]35是暂存与投递主机。121.58.231[.]55（Converge ICT，菲律宾曼达卢永）在21:38:42至22:54:44间两次获取loader和两个载荷，其域名记录为apps.dmw.gov[.]ph；121.58.231[.]35（同提供商、同城市）在21:56:03至22:30:41间11次尝试获取源码归档，域名记录为legalassistance.dmw.gov[.]ph，位于FatPipe MPVPN登录页后。两个地址均持有颁发给菲律宾海外就业管理局的\*.dmw.gov[.]ph GlobalSign通配符证书；按证书哈希和通用名检索，共11个地址呈现该通配符，多数位于121.58.231[.]0/24（包括.37、.41、.46、.60、.61），构成一个门户集群而非单机。证书历史显示门户迁移：2023年6月至2024年7月在.35，2024年7月至2025年9月在.43，2025年9月15日至今在.55。dmw.gov.ph本身解析145个子域，包括onlineservices、accreditation、agency、agencyportal、aims和ams，与备份文件名所指服务家族吻合。

156.59.127[.]203（Zenlayer）11次获取源码归档并在第二次重建后一分钟内检查第二个载荷，平台标注可能为未经验证的Mullvad VPN，SSH banner为ArrayOS（Array Networks SSL VPN设备系统），Hunt.io记录矛盾但不作结论。172.105.82[.]111（Linode/Akamai，法兰克福）用约九小时遍历目录并取走工具包，蜜罐网络记录其2023年1月至2025年9月间1,069次探测，路径如/index.htm、/cgi、/apply.cgi，属路由器和IoT利用模式。158.178.237[.]116（Oracle，新加坡）16秒扫完目录、读取日志后离开，传感器记录其2026年9月4日至10月12日间41次探测，包括请求/config/secrets.json（用户代理WebSiphon/next-0.1）和/.env.development。Hunt.io强调，从公开目录取文件既不能证明请求者是操作者，也不能证明其是受害者；日志只确立投递，不确立执行，也不确立这些地址是受害系统而非操作者或其他请求者。

四、未来影响与风险

Hunt.io指出，该技术不依赖漏洞：持有SeImpersonate的服务账户在默认Windows主机上距离SYSTEM仅一个可达句柄，载荷读取的是这一条件而非创造它。这是该操作中最可能在其他事件中复现的部分。泄露的Impacket环境包含69个Python脚本，其中两个检查LDAP或MSSQL中继是否可行，一个过滤Windows Server 2025域控制器，读起来像逐目标检查而非撒网；但捕获中没有命令历史、工具输出或执行遥测，未观察到任何工具被使用。Python上传接收器绑定8888端口，将请求体写入/tmp/uploaded.dll，其日志为零字节，但处理程序不含日志调用，因此空日志不证明未使用，也未恢复任何接收文件。

对菲律宾机构而言，风险在于27个备份所对应的海外劳工管理系统——覆盖数百万海外菲律宾工人相关服务——其内容虽未被检查，但一旦被确认可读，可能涉及大量个人与就业数据。Hunt.io的披露说明已通知相关国家CERT，报告中不包含受影响系统的个人记录或凭据。

五、归因与后续评论

Hunt.io不将此活动归因于任何已追踪行为者。分发的源码中AssemblyInfo.cs带有中文Visual Studio模板注释，捆绑的SharpToken库带有中文源码注释（属第三方项目），tar元数据命名Linux账户“cicada”。报告明确考虑但不支持这些细节可将操作者定位到特定国家的假设：本地化开发环境指示工具链语言，而非使用者位置或隶属；SharpToken注释可能根本不属于该操作者；账户名需要佐证。捕获不足以确认归因或识别国家关联。

报告结论称，已确立的是完成的窃取、一个投递服务器和就地重建的工具；未确立的是操作者如何进入机构网络、SYSTEM下运行了什么命令、68.837 GiB被发送到哪里。行动因工作目录公开而结束，而非因任何人检测到。载荷在正确性重要处谨慎、在证据积累处粗心：模拟级别检查和命名管道错误处理正确，令牌选择在运行时解析对象类型而非硬编码索引，但一个变量声明后被丢弃，且系统DLL页面在进程退出后仍保持可写。

结语：这起事件的核心讽刺在于，攻击者精心重建了公开工具、设计了内存加载、准备了完整的横向移动环境，却把传输日志和访问日志留在了任何人都能浏览的目录里。Hunt.io的捕获之所以完整，恰恰因为操作者没有关闭目录列表。对于防守方，这是一次关于“暴露面可能就在攻击者自己身上”的提醒；对于研究者，它提供了一条从公开目录到机构证书、再到请求日志的可复现证据链；对于归因，报告保持了克制——工具链的语言和账户名不构成国家归属，捕获能证明的只是投递，不能证明执行，更不能证明幕后者是谁。

参考文献

1、Hunt.io. (2026, October 28).68 GB Stolen From a Philippine Government Agency's Overseas-Employment Databases, Exposed by the Operator's Own Open Directory.https://hunt.io/blog/philippine-government-employment-agency-records-stolen