Hackers vulneran dos importantes iglesias de Corea del Sur y exponen datos de más de un millón de personas

Los piratas informáticos violaron dos de las principales iglesias de Corea del Sur, exponiendo más de un millón de registros de congregaciones y una gran cantidad de datos financieros y administrativos. La investigación revela cómo los shells web, las credenciales filtradas y los controles de acceso débiles abrieron rutas a los sistemas conectados.

En el otro, utilizaron credenciales filtradas y referencias a objetos directos inseguros, o IDOR, fallas en los sistemas de trabajo en grupo y membresía para llegar a registros confidenciales. OASIS dijo en un informe compartido con Cyber Security News (CSN) que los atacantes recopilaron registros relacionados con congregantes, donaciones, nóminas, datos de empleados, documentos de aprobación, chats e información de identidad. Hackers violan dos iglesias principales de Corea del Sur Los investigadores recopilaron archivos de un servidor atacante entre el 28 de agosto y el 1 de septiembre de 2026. Los atacantes eludieron un control de supervisión de la base de datos, recuperaron una contraseña de root de MariaDB y utilizaron credenciales NAS codificadas para acceder al almacenamiento de copia de seguridad.

Deben inspeccionar los registros de ERP, base de datos, NAS y nube en busca de accesos inusuales, grandes exportaciones o conexiones a la infraestructura que se indica a continuación. Redactado domaingw.[Victim B].orgSecond church’s EKP groupware target.Redacted domainsims.[Víctima B].orgSegundoservicio SIMS de la iglesia afectado por debilidades de autorización.Web-shell filenamecodex_x.aspxMalicious ERP web shell; al parecer todavía accesible el 9 de septiembre de 2026.File artifactlogin_results_v3.jsonRecordó 197 intentos de inicio de sesión contra iglesias surcoreanas.Informe del operadorHANDOVER_REPORT.mdContexto de implementación y ejecución del shell web documentado.Informe del operadorCREDENTIAL_AND_SYSTEMS.mdAcceso a la base de datos recuperado e ingeniería inversa de la aplicación documentada.Ataque scriptws.shWrapper utilizado para enviar comandos a través del shell web.Ataque scriptwssql.shSQL-envoltorio del shell web relacionado al que se hace referencia en las notas del operador.Ataque scriptlq_cmd.shUsed para la ejecución de comandos a través de servidores SQL vinculados.

Consultar publicación original ↗