Уязвимость пятилетней давности открыла путь к серверам, связанным с государственной системой обмена данными Украины. Неизвестный злоумышленник использовал Log4Shell в платформе Graylog и добился выполнения команд как минимум на двух серверах. На одном из них находился кластер Elasticsearch с 6,8 миллиона документов. Следов массовой выгрузки информации пока не обнаружили.

Подробности кампании, продолжавшейся с мая по сентябрь 2026 года, раскрыла компания Hunt.io. Злоумышленник арендовал сервер и просканировал 9,1 миллиона IP-адресов из 2874 сетевых диапазонов. Среди 7576 доступных узлов искал страницу с надписью UXP Verifier. Такой интерфейс используют серверы платформы UXP, обеспечивающей обмен электронными сообщениями между организациями.

Для проникновения атакующий применил Log4Shell, известную с декабря 2021 года уязвимость CVE-2021-44228 с критической оценкой 10,0 по CVSS 3.1. Ошибка в библиотеке Apache Log4j позволяет удалённо запускать код через специально подготовленные строки. В данном случае вредоносную конструкцию JNDI передавали через поле username в API управления сеансами Graylog.

Атака состояла из двух этапов с применением цепочки CommonsBeanutils2. Сначала сервер загружал командный сценарий, затем выполнял его для создания обратного подключения. Журналы показали, что целевой узел запросил файл через шесть секунд после запуска эксплойта. Аналогичную активность зафиксировали 24 августа на другом сервере. Однако полных записей интерактивных сеансов у Hunt.io нет.

На сервере журналирования злоумышленник изучал содержимое Elasticsearch. Один из индексов насчитывал 6 833 058 документов. Запросы касались участников обмена сообщениями, типов сервисов, идентификаторов пользователей и результатов транзакций. Такая последовательность указывает на знакомство со структурой базы. При этом доступные записи подтверждают получение агрегированных показателей, но не копирование самих документов.

Спустя 46 минут после загрузки вредоносного сценария сервер получил пару SSH-ключей для организации сетевого туннеля. Подобное подключение могло открыть путь к другим внутренним сервисам, однако подтверждений использования ключей не нашлось. На другой цели атакующий ранее настроил переадресацию порта 4000, предназначенного для управления UXP. Какие данные передавались через соединение, установить не удалось.

Операцию раскрыла собственная ошибка злоумышленника. Технический каталог атакующего сервера оставался публичным 17 часов. За указанный период к нему обратились 224 IP-адреса, отправившие 15 254 запроса. Посторонние посетители успели загрузить инструменты, результаты сканирования и даже закрытый SSH-ключ раньше целевого сервера. Hunt.io сохранила 193 файла, включая историю команд и журналы обращений.

Большинство найденных эксплойтов представляли собой общедоступные разработки. Попытки самостоятельно создать эксплойт для MikroTik RouterOS результата не дали. Доказательств закрепления в исследованной системе или массовой кражи документов также нет. Hunt.io передала материалы национальным центрам реагирования CERT, которые занимаются уведомлением пострадавших организаций. Окончательный масштаб компрометации остаётся неизвестным.