Célpontban Ukrajna állami adatcsere-rendszere
A Hunt.io kutatói egy oroszul kommunikáló támadó műveleteit tárták fel, aki 2026 májusa és szeptembere között Ukrajna állami adatcsere-infrastruktúráját vizsgálta, és legalább két szerveren sikerült rosszindulatú kódot végrehajtatnia. A támadás a Graylog naplókezelő rendszert érintette, és a Log4Shell néven ismert sérülékenység kihasználására épült.
A támadó szeptember 3-án mintegy 9,1 millió ukrán IP-címet tartalmazó listából indult ki. A TCP 5000-es porton végzett tömeges vizsgálattal 7576 elérhető rendszert talált, majd az UXP Verifier azonosító alapján kettőre szűkítette a célpontokat. Az UXP az ukrán állami adatcsere-rendszer alapjául szolgáló technológia, amelynek naplói érzékeny információkat tartalmazhatnak a különböző intézmények közötti tranzakciókról.
A behatoláshoz a Graylog munkamenet-kezelő API-ját használták. A felhasználónév mezőbe illesztett JNDI-kifejezés és egy kétlépcsős, Java-deszerializációra épülő exploit távoli parancsvégrehajtást tett lehetővé. A kutatók a támadói szerver naplóiban azonosították, hogy a célpontok letöltötték a következő támadási lépcsőt.
Az egyik érintett Elasticsearch-környezetben 6,83 millió állami adatcsere-tranzakcióhoz kapcsolódó dokumentum szerepelt. A támadó lekérdezésekkel feltérképezte az állományt, de a Hunt.io nem talált bizonyítékot annak tömeges kiszivárogtatására.
A műveletet végül a támadó saját hibája leplezte le, 17 órán át nyilvánosan elérhetővé tette munkakönyvtárát, benne szkriptekkel, parancselőzményekkel és hozzáférési naplókkal. Ezek alapján a Hunt.io rekonstruálni tudta a támadási láncot. Az operátor személyazonossága és állami kapcsolata továbbra sem ismert.
