Ein Angreifer hat IT-Systeme der Finanzverwaltung Ungarns infiltriert. Den Zugriff erhielt er wohl über eine seit 2017 bekannte Lücke in Oracle Weblogic.
5. August 2026 um 13:10 Uhr / Marc Stöckel
Der Hacker, der erst kürzlich durch einen folgenschweren Cyberangriff auf Rumäniens Katasterbehörde aufgefallen ist, hat offenbar auch ungarische Behörden attackiert. Wie Risky Business(öffnet im neuen Fenster) unter Verweis auf ungarische Medien(öffnet im neuen Fenster) berichtet, war das Ziel die Finanzverwaltung des Landes. Dabei sollen unter anderem Systeme verschlüsselt und einige Daten abgegriffen worden sein.
Den Angaben zufolge fand der Angriff in der vergangenen Woche statt. Das ungarische Finanzministerium bestätigte den Vorfall am Wochenende gegenüber lokalen Journalisten. Betroffen ist demnach nur ein Teil der Verwaltung, konkret das ungarische Amt für Landwirtschaft und ländliche Entwicklung (MVH).
Angriffspunkt war laut einem Bericht des ungarischen Medienportals Telex(öffnet im neuen Fenster) eine kritische Sicherheitslücke in Oracle Weblogic. Diese war offenbar schon sehr alt.
Ein Patch dafür ist bereits seit Oktober 2017 verfügbar(öffnet im neuen Fenster). Die ungarische Finanzverwaltung versäumte es also offenkundig fast neun Jahre lang, das betroffene System zu aktualisieren.
Weitreichende Zugriffsrechte erlangt
Über den infiltrierten Weblogic-Server bewegte sich der Angreifer durch das interne Netzwerk der Finanzverwaltung und suchte nach weiteren Schwachstellen. "Der Angreifer erlangte in praktisch allen kritischen Systemen weitreichende Administratorrechte, was bedeutet, dass er sich völlig frei in der Umgebung bewegen konnte", erklärte ein Sicherheitsexperte gegenüber Telex.
Unter anderem soll er an den Domaincontroller der Windows-Umgebung sowie eine Datenbank mit Zugangsdaten aller Nutzer des MVH gelangt sein. Zudem soll er administrative Zugriffsrechte auf eine Virtualisierungsumgebung und alle darüber verwalteten virtuellen Maschinen sowie zugehörige Speichermedien und Back-ups erlangt haben. Die Rede ist von 116 VMs und insgesamt 229 TByte an Daten.
Verschlüsselung und Datenklau
Gelöscht hat der unter dem Namen ByteToBreach bekannte Angreifer dieses Mal aber wohl nichts, anders als bei dem Vorfall in Rumänien, bei dem er die gesamte Grundbuchdatenbank des Landes löschte. In der Finanzverwaltung Ungarns verschlüsselte er den Angaben zufolge lediglich die Computer einiger Mitarbeiter und exfiltrierte einige Daten, die er anschließend in einem Hackerforum zum Verkauf anbot.
Laut Analysen der Sicherheitsexperten von TLP Black(öffnet im neuen Fenster) und Kela(öffnet im neuen Fenster) scheint ByteToBreach weniger politisch als vielmehr finanziell motiviert zu sein. Der Cyberakteur soll in der Vergangenheit unter anderem Fluggesellschaften, Banken, Universitäten und Regierungsorganisationen attackiert und erpresst haben. Für seine Angriffe nutzt er wohl eine eigene Ransomware namens ByteToCrypt, die über eine eher "fragile Verschlüsselungsimplementierung" verfügt.
- Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon
Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.