لهجوم ShinyHunters على Oracle PeopleSoft تفصيل جديد: ما وُصف في البداية بأنه ثغرة يوم صفر واحدة تبيّن أنه ثلاث ثغرات متسلسلة. وفقًا للتقرير، دمج ShinyHunters الثغرات للسيطرة على الخوادم دون الحاجة إلى تسجيل الدخول، وقد امتدت الهجمات عبر قطاعات متعددة.
وهذا مهم أبعد بكثير من فرق تقنية المعلومات. فـ PeopleSoft برمجيات مؤسسية، لذا فإن الأشخاص الأكثر تأثرًا قد لا يكونون قد لمسوا نظامًا معرّضًا للخطر مباشرة قط. يشرح هذا المقال ما ورد في التقرير، ومن قد يكون معرّضًا، والخطوات العملية التي يمكنك اتخاذها.
ما حدث: ثلاث ثغرات متسلسلة في PeopleSoft
النتيجة الأساسية هي أن ShinyHunters استغل ثلاث ثغرات متسلسلة في Oracle PeopleSoft مكّنت من السيطرة على الخادم دون مصادقة. "دون مصادقة" تعني أن المهاجم لا يحتاج إلى اسم مستخدم أو كلمة مرور للبدء. و"متسلسلة" تعني أن كل ثغرة بمفردها قد لا تمنح سيطرة كاملة، لكن عند استخدامها بالتتابع فإنها تمنح ذلك.
هذا نمط شائع في الاختراقات الخطيرة. فقد تسمح ثغرة واحدة للمهاجم بالوصول إلى شيء لا ينبغي له الوصول إليه، وترفع أخرى صلاحياته، وتمكّنه ثالثة من تنفيذ أوامر على الخادم. صوّرت الأوصاف المبكرة للحادثة على أنها ثغرة يوم صفر واحدة، لكن طبيعتها المتسلسلة تشير إلى أن الهجوم كان أكثر تعمّدًا وتعقيدًا مما ورد في البداية.
يقول المقال المصدر إن الهجمات امتدت عبر قطاعات متعددة. ليس لدينا في المادة المتاحة تفاصيل أكثر من ذلك، لذا سيكون من الخطأ تخمين ضحايا محددين أو أعداد السجلات أو الجداول الزمنية هنا. ينبغي للمؤسسات التي تشغّل PeopleSoft الاعتماد على إرشادات Oracle نفسها وفرق الأمن لديها للحصول على التفاصيل.
من المعرّض للخطر بعد اختراق PeopleSoft
يُستخدم PeopleSoft عادةً لتشغيل الوظائف الخلفية داخل المؤسسات الكبيرة. وعندما يُسيطر على خادم يشغّله، فإن التعرّض يمتد عادةً إلى الأشخاص الذين تحتفظ الأنظمة بسجلاتهم، وليس المؤسسة وحدها.
وقد يشمل ذلك:
- الموظفين، الذين قد تكون معلومات الموارد البشرية أو الرواتب الخاصة بهم مخزّنة في أنظمة متصلة.
- الطلاب والمتقدمين، إذا كانت مدرستهم تستخدم PeopleSoft للسجلات أو القبول.
- العملاء، إذا كانت المؤسسة تحتفظ ببياناتهم في نظام مدعوم بـ PeopleSoft.
النقطة الأساسية هي أنك لا تحتاج إلى أن تكون قد فعلت شيئًا خاطئًا. فإذا كان صاحب عملك أو مدرستك أو شركة تتعامل معها تشغّل خادمًا معرّضًا للخطر، فقد تكون بياناتك في خطر حتى لو لم تسجّل الدخول إليه قط. أما ما إذا كان قد تم الوصول إلى معلوماتك فعليًا فيعتمد على المؤسسة، ولهذا فإن طلب إشعار واضح أمر مهم.
كيف تغذي البيانات المسروقة التصيد والاستيلاء على الحسابات
السيطرة على الخادم نفسها ليست سوى الخطوة الأولى. وما يحدث للبيانات المسروقة بعد ذلك هو غالبًا ما يلحق أكبر ضرر بالأفراد.
الأسماء وعناوين البريد الإلكتروني والمسميات الوظيفية والتفاصيل الداخلية تجعل رسائل التصيد أكثر إقناعًا بكثير. فالرسالة التي تشير إلى صاحب عملك أو قسمك أو مدرستك الحقيقية تبدو شرعية بطريقة لا تبدو بها عملية الاحتيال العامة. ويمكن للمهاجمين انتحال صفة الموارد البشرية أو دعم تقنية المعلومات أو مكتب المساعدة المالية ويطلبون منك "التحقق" من كلمة مرور أو النقر على رابط.
وإذا كنت تعيد استخدام كلمات المرور عبر الخدمات، فإن أي بيانات اعتماد مكشوفة في اختراق يمكن أيضًا تجربتها في أماكن أخرى، وهي تقنية تُعرف بحشو بيانات الاعتماد. ولهذا قد تظهر الهجمات اللاحقة بعد أسابيع من الاختراق الأصلي، ولهذا قد يؤدي اختراق لم تسمع عنه قط إلى رسالة بريد إلكتروني مشبوهة في صندوق الوارد لديك.
الاستغلال المتسلسل ليس فريدًا في هذه الحالة. فتغطيتنا لكيفية ربط UTA0565 ثغرات يوم صفر في Chrome وWindows تُظهر الاستراتيجية نفسها: ربط عدة نقاط ضعف بحيث تحقق معًا ما لم يستطع أي منها تحقيقه بمفرده.
ماذا يعني هذا لك
إذا كنت موظفًا أو طالبًا أو عميلًا لمؤسسة تستخدم PeopleSoft، فلا يمكنك ترقيع الخادم بنفسك. ما يمكنك فعله هو تقليل الضرر إذا تعرّضت بياناتك:
- افترض أن الرسائل التي تشير إلى صاحب عملك أو مدرستك قد تكون مصاغة من تفاصيل مسرّبة.
- احمِ حساباتك بحيث لا تكفي كلمة مرور مسروقة وحدها.
- ابقَ متيقظًا للإشعارات الصادرة عن المؤسسة، واطلبها إن لم تصل أي منها.
شبكة VPN لا تحميك هنا. فقد حدث التعرّض على خوادم المؤسسة، وليس على اتصالك، لذا فإن أمن الحسابات واليقظة هما الأداتان المهمتان.
ماذا تفعل إذا كان صاحب عملك أو مدرستك يستخدم PeopleSoft
- اسأل مباشرة. تواصل مع مكتب الموارد البشرية أو تقنية المعلومات أو التسجيل واسألهم عما إذا كانوا يشغّلون PeopleSoft، وما إذا كانوا قد تأثروا، وما إذا كان هناك إشعار اختراق مخطط له.
- فعّل المصادقة متعددة العوامل (MFA) على حسابات العمل والدراسة والبريد الإلكتروني والخدمات المصرفية. تطبيق المصادقة أو مفتاح أجهزة أقوى من رموز SMS.
- غيّر كلمات المرور المعاد استخدامها واستخدم مدير كلمات مرور بحيث يكون لكل حساب كلمة مرور فريدة.
- راقب حساباتك. راقب عمليات تسجيل الدخول غير العادية ورسائل إعادة تعيين كلمة المرور التي لم تطلبها والنشاط المالي غير المألوف.
- تعامل مع الرسائل غير المتوقعة بارتياب. إذا ادّعى بريد إلكتروني أو رسالة نصية أنها من الموارد البشرية أو تقنية المعلومات أو مكتب المدرسة، فلا تنقر على روابطها. اذهب إلى الموقع الرسمي مباشرة أو اتصل برقم معروف.
- احتفظ بسجلات لأي إشعار اختراق تتلقاه، واتبع نصائحه بشأن مراقبة الائتمان أو حماية الهوية.
الخلاصة
هجوم ShinyHunters على Oracle PeopleSoft تذكير بأن بياناتك آمنة فقط بقدر أضعف خادم يحتفظ بها. والتحول من ثغرة يوم صفر واحدة إلى ثلاث ثغرات متسلسلة يُظهر كيف يبني المهاجمون مسارات موثوقة إلى الأنظمة المؤسسية دون الحاجة إلى كلمة مرور واحدة.
لا يمكنك التحكم في كيفية ترقيع صاحب عملك أو مدرستك لبرمجياتها، لكن يمكنك تفعيل MFA ومراقبة حساباتك والتشكيك في الرسائل غير المتوقعة وطلب إشعارات الاختراق كتابيًا. ولمثال آخر على كيفية عمل الاستغلال المتسلسل لثغرات يوم صفر في الواقع، اقرأ عن UTA0565 وهجمات CLEANGULP.
