Атаката на ShinyHunters срещу Oracle PeopleSoft има нов детайл: това, което първоначално беше описано като една zero-day уязвимост, се оказва три свързани уязвимости. Според доклада ShinyHunters са комбинирали уязвимостите, за да превземат сървъри без нужда от вход в системата, а атаките са обхванали множество сектори.

Това има значение далеч отвъд ИТ екипите. PeopleSoft е корпоративен софтуер, така че хората, които са най-засегнати, може никога да не са докосвали уязвима система пряко. Тази публикация обяснява какво е било докладвано, кой може да бъде изложен и какви практични стъпки можете да предприемете.

Какво се случи: Три свързани уязвимости в PeopleSoft

Основната констатация е, че ShinyHunters са експлоатирали три свързани уязвимости в Oracle PeopleSoft, които са позволили неавтентикирано превземане на сървър. „Неавтентикирано“ означава, че нападателят не се нуждае от потребителско име или парола, за да започне. „Свързани“ означава, че всяка уязвимост сама по себе си може да не дава пълен контрол, но използвани последователно, те го правят.

Това е често срещан модел при сериозни прониквания. Една грешка може да позволи на нападателя да достигне до нещо, до което не би трябвало, друга може да повиши привилегиите му, а трета може да му позволи да изпълнява команди на сървъра. Ранните описания на инцидента го представяха като една zero-day уязвимост, но свързаният характер подсказва, че атаката е била по-умишлена и сложна, отколкото първоначално се съобщаваше.

Изходната статия казва, че атаките са обхванали множество сектори. Нямаме повече подробности от това в предоставения материал, така че би било грешка да гадаем за конкретни жертви, брой записи или времеви рамки тук. Организациите, които използват PeopleSoft, трябва да разчитат на собствените насоки на Oracle и на своите екипи по сигурност за конкретиката.

Кой е изложен на риск след пробив в PeopleSoft

PeopleSoft обикновено се използва за управление на бек-офис функции в големи организации. Когато сървър, който го изпълнява, бъде превзет, излагането обикновено се разпростира върху хората, чиито записи системата съхранява, а не само върху самата организация.

Това може да включва:

  • Служители, чиято информация за човешки ресурси или заплати може да се съхранява в свързани системи.
  • Студенти и кандидати, ако тяхното училище използва PeopleSoft за записи или прием.
  • Клиенти, ако организация съхранява техните данни в система, базирана на PeopleSoft.

Ключовият момент е, че не е нужно да сте направили нещо нередно. Ако вашият работодател, училище или компания, с която работите, изпълнява уязвим сървър, вашите данни може да са в риск, дори ако никога не сте влизали в него. Дали информацията ви е била действително достъпена зависи от организацията, поради което искането за ясно уведомление е важно.

Как откраднатите данни захранват фишинг и отвличане на акаунти

Самото превземане на сървъра е само първата стъпка. Това, което се случва с откраднатите данни след това, често е това, което наранява хората най-много.

Имена, имейл адреси, длъжности и вътрешни подробности правят фишинг съобщенията много по-убедителни. Съобщение, което споменава истинския ви работодател, отдел или училище, изглежда легитимно по начин, по който генерична измама не изглежда. Нападателите могат да се представят за човешки ресурси, ИТ поддръжка или офис за финансова помощ и да ви помолят да „потвърдите“ парола или да кликнете на връзка.

Ако използвате повторно пароли в различни услуги, всякакви идентификационни данни, изложени при пробив, могат да бъдат изпробвани и другаде — техника, известна като credential stuffing. Ето защо последващите атаки могат да се появят седмици след първоначалното проникване и защо пробив, за който никога не сте чували, все още може да доведе до подозрителен имейл във входящата ви кутия.

Свързаното експлоатиране не е уникално за този случай. Нашето отразяване на това как UTA0565 комбинира zero-day уязвимости в Chrome и Windows показва същата стратегия: свързване на няколко слабости, така че заедно да постигнат това, което никоя не би могла сама.

Какво означава това за вас

Ако сте служител, студент или клиент на организация, която използва PeopleSoft, не можете сами да коригирате сървъра. Това, което можете да направите, е да намалите щетите, ако данните ви са били изложени:

  • Приемайте, че съобщенията, споменаващи вашия работодател или училище, може да са изготвени от изтекли данни.
  • Защитете акаунтите си, така че открадната парола сама по себе си да не е достатъчна.
  • Бъдете нащрек за уведомления от организацията и ги поискайте, ако не пристигнат такива.

VPN не ви защитава тук. Излагането е станало на сървърите на организацията, а не на вашата връзка, така че сигурността на акаунтите и бдителността са инструментите, които имат значение.

Какво да направите, ако вашият работодател или училище използва PeopleSoft

  1. Попитайте директно. Свържете се с отдела за човешки ресурси, ИТ или службата за студентски записи и попитайте дали използват PeopleSoft, дали са били засегнати и дали се планира уведомление за пробив.
  2. Активирайте многофакторна автентикация (MFA) на работни, училищни, имейл и банкови акаунти. Приложение за автентикация или хардуерен ключ е по-силно от SMS кодове.
  3. Сменете повторно използваните пароли и използвайте мениджър на пароли, така че всеки акаунт да има уникална парола.
  4. Наблюдавайте акаунтите си. Следете за необичайни влизания, имейли за нулиране на парола, които не сте заявили, и непозната финансова активност.
  5. Отнасяйте се към неочакваните съобщения с подозрение. Ако имейл или текстово съобщение твърди, че е от човешки ресурси, ИТ или училищен офис, не кликвайте на връзките му. Отидете директно на официалния сайт или се обадете на известен номер.
  6. Съхранявайте записи за всяко уведомление за пробив, което получите, и следвайте съветите му относно мониторинг на кредит или защита на самоличността.

Изводът

Атаката на ShinyHunters срещу Oracle PeopleSoft е напомняне, че вашите данни са толкова сигурни, колкото най-слабият сървър, който ги съхранява. Преминаването от една zero-day уязвимост към три свързани уязвимости показва как нападателите изграждат надеждни пътища в корпоративните системи, без да се нуждаят от нито една парола.

Не можете да контролирате как вашият работодател или училище коригира софтуера си, но можете да активирате MFA, да наблюдавате акаунтите си, да се съмнявате в неочаквани съобщения и да поискате уведомления за пробив в писмен вид. За друг пример как свързаното експлоатиране на zero-day уязвимости работи на практика, прочетете за UTA0565 и атаките CLEANGULP.