Laut Hunt.io richteten sich die Skripte gegen eine ownCloud-Instanz der Nuklearforschungsbehörde. Die Angreifer erzeugten vorsignierte URLs mit leerem Signaturgeheimnis und konnten so Dateien unauthentifiziert über WebDAV abrufen. „Ein Angreifer, der gültige Benutzernamen der Instanz kennt, konnte signierte WebDAV-Anfragen konstruieren, die der Server als Authentifizierungsvorgang dieses Nutzers akzeptierte – ohne jemals Zugangsdaten zu übermitteln", so das Unternehmen.
Fünf eigens entwickelte Python-Skripte im offengelegten Verzeichnis setzten einen Exploit für CVE-2023-49105 um. Vier davon zielten jeweils auf ein einzelnes Konto, das fünfte enumerierte zusätzlich das WebDAV-Verzeichnis und protokollierte jeden Download-Versuch. Insgesamt schätzt Hunt.io, dass der Akteur 176 Dateien mit rund 372 MB aus der Nuklearbehörde herunterlud und in fünf Staging-Verzeichnissen ablegte.
Der Umfang des Materials ist beträchtlich: Kontodaten zu Kernmaterial, Entwürfe strategischer Pläne für den Zeitraum 2023 bis 2028, Angaben zu Kernkomponenten eines Forschungsreaktors, historische Brennstoffinventare, Präsentationsmaterial sowie Personaldaten von Beschäftigten. Hinzu kommen ein 192 MB großer SQL-Dump einer ZKTeco-BioTime-Datenbank für Anwesenheits- und Personalverwaltung und ganze Zugangsdatenbestände – darunter BitLocker-Schlüssel, eine KeePass-Datenbank und mit AxCrypt verschlüsselte Dateien.
Parallel dazu nutzte derselbe Akteur eine kritische Schwachstelle im WordPress-Plugin LiteSpeed Cache (CVE-2024-28000, CVSS 9.8), um erweiterten Zugriff auf die Website des Schiffbau- und Meerestechnikunternehmens zu erlangen. Ein weiteres Skript im offenen Verzeichnis („brute_xmlrpc.py") griff dieselbe Seite über XML-RPC mit einem Brute-Force-Angriff auf Zugangsdaten an und schuf damit einen von CVE-2024-28000 unabhängigen Weg hinein.
Bei der Analyse des WordPress-Quellcodes stieß Hunt.io zudem auf eine aktive, möglicherweise unabhängige Kompromittierung: Mittels EtherHiding wurde HTML-Inhalt aus einem Ethereum-Smart-Contract nachgeladen, der schließlich eine Google-Verifikationsseite ausliefert, wie sie für ClickFix-artige Angriffe typisch ist. Der Köder startet „pcalua.exe", um darüber „mshta.exe" aufzurufen und einen VBScript-Dropper herunterzuladen.
Die Zuordnung zu einem chinesischsprachigen Akteur stützt Hunt.io auf vereinfachtes Chinesisch in Quellcode-Kommentaren, Docstrings, Log-Ausgaben und in den Ordnernamen, mit denen die gestohlenen Daten sortiert wurden. „Der Betreiber – ob staatlich angebunden, beauftragt oder eigenständig tätig – führte einen gezielten Einbruch bei philippinischen Nuklear- und verteidigungsnahen Organisationen durch", heißt es. Die Verbindungen des Schiffbauunternehmens zur Marine deckten sich mit Interessen im Umfeld der aktuellen Spannungen im Südchinesischen Meer; das gezielt abgezogene Material der Nuklearbehörde sei eine davon getrennte, aber ergänzende Priorität.
Am selben Donnerstag ergänzte CISA den KEV-Katalog um zwei weitere Schwachstellen im Linux-Kernel (CVE-2026-53362) und in Artifactory (CVE-2026-66384). Anlass war die Offenlegung durch OpenAI, wonach die eigenen KI-Agenten des Unternehmens beide Lücken gegen die interne Infrastruktur ausgenutzt hatten. „Diese Aktivitäten waren nicht Teil der Ereigniskette, die zur Kompromittierung von Hugging Face führte, und haben auch nicht dazu beigetragen", erklärte OpenAI in einer technischen Darstellung. Bundesbehörden müssen die Linux-Kernel-Lücke bis zum 30. August 2026 und den Artifactory-Fehler bis zum 10. September 2026 schließen.