A Magyar Államkincstár mezőgazdasági és vidékfejlesztési szakterületét ért kibertámadás jól mutatja, hogyan találkozik a klasszikus vállalati IT‑világ a modern fenyegetési környezettel. Az incidensről szóló hivatalos közlés szerint a kincstár informatikai hálózatát érte támadás, amelynek során egyes belső felhasználók gépein lévő állományok titkosítottá váltak, ugyanakkor az eddigi információk alapján ügyféladat-vesztés nem történt, és a kincstár által kezelt ügyféladatok nem sérültek. A fertőzött szervereket az észlelést követően leválasztották, a vizsgálatban a Nemzeti Kiberbiztonsági Intézet vesz részt, az incidenst pedig bejelentették a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH). Biztonsági okokból a mezőgazdasági és vidékfejlesztési szakterület egyes elektronikus szolgáltatásai korlátozottan érhetők el.

A nyilvánosságra került technikai részletek alapján a támadás mögött egy aktív, több országot célzó fenyegető szereplő, a ByteToBreach állhat, aki a magyar állami szektor egyik kulcsszereplőjének, az Államkincstárnak az infrastruktúráját is célba vette. A támadás egy komplex, több lépésből álló láncolatot követett: a belépési pont egy WebLogic RCE sebezhetőség volt, ezt követte a belső Active Directory környezet kihasználása, majd Oracle adatbázis‑jelszavak tömeges dekódolása.

WebLogic RCE: a CVE‑2017‑10271 sebezhetőség technikai háttere

A támadás kiindulópontja egy esb[.]mvh[.]allamkincstat[.]gov[.]hu címen futó webkiszolgáló volt, amely Oracle WebLogic Server-t futtatott. A szerver a CVE‑2017‑10271 azonosítójú, távoli kódfuttatást (RCE – Remote Code Execution) lehetővé tevő sebezhetőséggel volt érintett. Ez a hiba a WebLogic SOAP/WS‑ekoszisztémájához kapcsolódik: a Web Services komponens bizonyos XML/SOAP üzeneteket nem megfelelően validál, így a támadó speciálisan kialakított SOAP envelope segítségével tetszőleges kódot juttathat a rendszerbe.

A leírt esetben a támadók egy olyan SOAP üzenetet küldtek, amely egy Python kódot injektált a WebLogic folyamatba. A kód egy klasszikus reverse shell-t nyitott (python -c 'import socket ...' jellegű parancs), vagyis a szerver kifelé, a támadó által kontrollált géphez csatlakozott, és azon keresztül parancssori hozzáférést biztosított a támadónak. Ez a módszer jól ismert a behatolási tesztelésben (pentest) és a valódi támadásokban is: a tűzfalak gyakran szigorúbbak a bejövő, mint a kimenő kapcsolatokkal szemben, így egy kifelé irányuló kapcsolat könnyebben átjut.

Fontos részlet, hogy a szóban forgó WebLogic gép nem éles (production) környezetben működött, hanem inkább egyfajta integrációs vagy köztes rétegként (ESB – Enterprise Service Bus jellegű funkcióval). Ugyanakkor a gyakorlat azt mutatja, hogy az ilyen „nem éles” rendszerek gyakran gyengébben védettek, régebbi verziókon futnak, és jó ugródeszkát jelentenek a további laterális mozgáshoz a hálózaton belül.

Active Directory és laterális mozgás: hogyan lesz egy peremrendszerből doménszintű probléma?

A támadás következő fázisa a belső Active Directory (AD) környezet kihasználása volt. Egy tipikus államigazgatási vagy nagyvállalati infrastruktúrában az AD a felhasználók, gépek, csoportok, jogosultságok és házirendek központi irányítását végzi. Ha egy támadó egy AD‑hoz csatlakozó szerveren szerez rendszerszintű hozzáférést, jó eséllyel talál:

• mentett szolgáltatás‑fiók jelszavakat (service account),
• rosszul konfigurált jogosultságokat (pl. túl széles admin jogok),
• hibásan beállított csoportházirendeket (GPO),
• vagy olyan hitelesítési tokeneket, amelyekkel további gépekre léphet át.

A publikált információk szerint a támadás során az AD‑környezet feltérképezése és kihasználása kulcsszerepet játszott. Ez illeszkedik ahhoz a trendhez, amelyben a támadók nem egyetlen gép kompromittálására törekszenek, hanem doménszintű kontrollt akarnak elérni: ha sikerül doménadmin jogosultságot szerezni, azzal gyakorlatilag az egész Windows‑alapú infrastruktúra fölött hatalmat nyernek.

Az ilyen típusú támadásokban gyakran használnak olyan eszközöket és technikákat, amelyek az AD‑struktúra grafikus vagy gráf‑alapú elemzését végzik, és megmutatják, milyen útvonalakon lehet egy alacsony jogosultságú fiókból doménadmin szintre jutni. A román ANCPI‑t érintő, ByteToBreach‑hez köthető esetben például egy JSON formátumú, kiszivárgott adathalmaz állítólag részletes képet adott az intézmény belső AD‑környezetéről, ami lehetővé teszi a támadók számára a magas értékű rendszerek azonosítását és a potenciális támadási útvonalak megtervezését anélkül, hogy közvetlenül a hálózaton belül mozognának.

Oracle adatbázisok és jelszavak tömeges dekódolása

A magyarországi incidens technikai leírása szerint a támadási lánc egyik későbbi lépése az Oracle adatbázisokhoz kapcsolódó jelszavak tömeges dekódolása volt. Az Oracle környezetekben – különösen régebbi verziókban vagy rosszul konfigurált rendszerekben – előfordulhat, hogy:

• jelszavak gyengébb hash‑elési eljárással vannak tárolva,
• ismert, dokumentált formátumú hash‑ek kerülnek ki, amelyeket célzott eszközökkel lehet törni,
• vagy konfigurációs fájlokban, szkriptekben, alkalmazás‑szerverek beállításaiban (pl. JDBC connection stringekben) találhatók titkosítatlan vagy gyengén titkosított adatbázis‑hitelesítési adatok.

Ha a támadó hozzáfér ilyen adatokhoz, és sikerül a jelszavakat visszafejtenie vagy kitalálnia, akkor közvetlenül az adatbázis‑szerverekhez férhet hozzá. Ez különösen kritikus, ha az adatbázisok üzleti szempontból érzékeny adatokat tartalmaznak, vagy ha az adatbázis‑fiókok jogosultságai túl szélesek (pl. DBA szintű hozzáférés). A jelenlegi információk alapján a Magyar Államkincstár esetében az ügyféladatok nem sérültek, de a támadási lánc ezen eleme jól mutatja, milyen irányba haladhat egy ilyen kompromittálás.

Ransomware és titkosított állományok: mi történik a végpontokon?

A hivatalos tájékoztatás szerint az incidens következtében egyes belső felhasználók, munkatársak számítógépén lévő állományok titkosítottá váltak. Ez tipikusan valamilyen zsarolóvírus (ransomware) komponens működésére utal. A modern, célzott ransomware‑kampányokban a támadók gyakran:

• először doménszintű vagy magas jogosultságot szereznek,
• majd központi eszközökkel (pl. AD‑n keresztül, menedzsment rendszerekkel) terítik a kártékony kódot,
• és egyszerre, koordináltan indítják el a titkosítást, hogy maximalizálják a hatást.

A Magyar Államkincstár esetében a kommunikáció alapján a titkosítás belső felhasználói gépeket érintett, és az ügyféladatok védettek maradtak. Ez arra utal, hogy a kritikus rendszerek és adatbázisok vagy elkülönítettebb, jobban védett zónában voltak, vagy a támadók nem jutottak el odáig, esetleg a védekezés időben megállította a további terjedést.

ByteToBreach: professzionális imázs, több országot érintő aktivitás

A támadáshoz köthető ByteToBreach egy olyan fenyegető szereplő, aki több platformon – köztük DarkForums és Telegram – aktív, és legalább 2025 közepe óta figyelhető meg a tevékenysége. A rendelkezésre álló információk szerint ismert, publikus sebezhetőségeket használ ki felhős és vállalati infrastruktúrákban, újrahasznosít ellopott hitelesítő adatokat, és brute force vagy hibás konfigurációk révén szerez kezdeti hozzáférést. Fő fókusza a magas értékű célpontok érzékeny adatainak kiszivárogtatása.

Érdekesség, hogy 2025 augusztusában „Pentesting Ltd” néven WordPress‑alapú weboldalt hozott létre, amely látszólag professzionális szolgáltatóként mutatja be, miközben valójában a saját támadásait „referenciaként” tünteti fel. A bannereken provokatív szlogenek szerepelnek, például „Let Me Harm Your Data” és „Industry‑leading Threat Actor”. A kommunikáció több csatornán zajlik, köztük ProtonMail, Tuta, Gmail, Telegram, Signal és Session.

Elemzések szerint a ByteToBreach‑hez köthető tevékenység két, Algériából származó, infostealerrel fertőzött géphez is kapcsolódik. Az egyik gép 2022 szeptemberében Raccoon, a másik 2024 februárjában StealC kártevővel volt fertőzött. A botnet adatai között korábbi Telegram‑felhasználónév és egy olyan telefonszám is szerepelt, amely közvetlenül összeköthető a ByteToBreach Telegram‑fiókjával. Ezek az adatok a fenyegető szereplő azonosítását segíthetik, de a teljes, jogilag is megalapozott attribúció ennél jóval összetettebb folyamat.

Román ANCPI: forráskód, GitLab és AD‑térkép kompromittálása

A ByteToBreach tevékenysége nem korlátozódik Magyarországra. A román Nemzeti Kataszteri és Ingatlan-nyilvántartási Ügynökség (ANCPI) elleni támadásról szóló állításai szerint sikerült kiterjedt adatbázisokat kinyernie, amelyek román állampolgárok érzékeny adatait tartalmazzák, továbbá az ügynökség GitLab‑szervereinek teljes másolatát is megszerezte. Ez utóbbi különösen kritikus, mert a GitLab a forráskód‑kezelés központi eleme: ha a támadó hozzáfér a kódhoz, akkor:

• feltérképezheti a belső rendszerek működését,
• sebezhetőségeket kereshet a saját kód alapján,
• és akár backdoorokat is beépíthet, ha visszajut a fejlesztési láncba.

A ByteToBreach állítása szerint olyan kulcsfontosságú rendszerek forráskódját is megszerezte, mint az e‑Terra és a RENNS (országos cím- és utcanyilvántartási rendszer). Emellett ransomware‑t is telepített az ügynökség hálózatán, és belső rendszerekről készült képernyőképeket, valamint állítólagosan kiszivárgott adatokat osztott meg darknet fórumokon. A nyilvánosságra hozott JSON‑adatok részben az ANCPI belső Active Directory környezetének részletes képét adják, ami külső támadók számára is lehetővé teszi a magas értékű rendszerek azonosítását és a támadási utak megtervezését.

Tanulságok Linux és nyílt forráskódú környezetek számára

Bár a Magyar Államkincstár és az ANCPI esete elsősorban Windows‑os AD‑környezetekhez és Oracle/WebLogic stackhez kötődik, a tanulságok közvetlenül relevánsak Linux‑ és nyílt forráskódú rendszerek üzemeltetői számára is:

• Patch‑menedzsment: a CVE‑2017‑10271 típusú, régóta ismert sebezhetőségek kihasználása azt mutatja, hogy a kritikus komponensek (alkalmazásszerverek, middleware, adatbázisok) frissítése nem halogatható. Linuxon ugyanez igaz például Apache, Nginx, PHP‑FPM, OpenSSH, OpenSSL és konténer‑runtime környezetek esetében.
• Peremrendszerek védelme: a „nem éles” vagy integrációs rendszerek gyakran lazábban védettek, pedig ezekből könnyen lehet ugródeszka. A Linux‑alapú ESB‑k, API‑gatewayek, reverse proxyk, VPN‑szerverek ugyanilyen kritikusak.
• Hitelesítési adatok kezelése: konfigurációs fájlokban, systemd unitokban, Docker‑compose fájlokban vagy Kubernetes Secret‑ekben tárolt jelszavak, tokenek kompromittálódása az egész infrastruktúrát veszélyezteti. A titkosítás, vault‑megoldások (pl. HashiCorp Vault) és a minimális jogosultság elve kulcsfontosságú.
• Naplózás és forenzika: a gyors reagálás – fertőzött szerverek leválasztása, vizsgálat indítása – csak akkor hatékony, ha a Linux‑os és Windows‑os komponensek naplózása, központosítása (SIEM) és megőrzése megfelelő.

Jövőbeli kilátások: professzionalizálódó támadók, növekvő elvárások a védelemben

A ByteToBreach‑hez hasonló szereplők tevékenysége jól mutatja a kibertámadások professzionalizálódását. A „Pentesting Ltd” jellegű, látszólag legitim weboldal, a többcsatornás kommunikáció, a marketing‑szerű szlogenek és a „szolgáltatásként” kínált adatlopás mind azt jelzik, hogy a támadók üzleti logikával, piaci gondolkodással működnek.

Az állami és nagyvállalati szereplők számára ez azt jelenti, hogy a védelemnek is hasonlóan professzionális szintre kell lépnie: folyamatos sebezhetőség‑menedzsment, rendszeres biztonsági auditok és behatolás‑tesztek, a fejlesztési életciklusba (SDLC) integrált biztonság, valamint a felhasználók és üzemeltetők folyamatos képzése nélkül egyre nehezebb lesz érdemben csökkenteni a kockázatokat.

A Magyar Államkincstár esetében pozitívum, hogy az első információk szerint az ügyféladatok nem sérültek, és a hatóságokkal (Nemzeti Kiberbiztonsági Intézet, NAIH) való együttműködés azonnal megkezdődött. Ugyanakkor az incidens világosan jelzi: a kritikus állami infrastruktúrák védelme nem csak technikai, hanem szervezeti, jogi és stratégiai kérdés is, amelyben a Linux‑ és nyílt forráskódú rendszerek üzemeltetőinek szerepe legalább annyira fontos, mint a klasszikus Windows‑os környezeteké.