Útok ShinyHunters na Oracle PeopleSoft má nový detail: to, co bylo nejprve popsáno jako jediný zero-day, se ukazuje být třemi zřetězenými zranitelnostmi. Podle zprávy ShinyHunters zkombinovali zranitelnosti k převzetí serverů bez potřeby přihlášení a útoky zasáhly více odvětví.

To má význam daleko za hranicemi IT týmů. PeopleSoft je podnikový software, takže lidé, kteří jsou nejvíce zasaženi, možná nikdy přímo nepřišli do styku se zranitelným systémem. Tento příspěvek vysvětluje, co bylo oznámeno, kdo může být vystaven riziku a jaké praktické kroky můžete podniknout.

Co se stalo: tři zřetězené zranitelnosti PeopleSoft

Hlavním zjištěním je, že ShinyHunters zneužili tři zřetězené zranitelnosti Oracle PeopleSoft, které umožnily neautentizované převzetí serveru. „Neautentizované“ znamená, že útočník nepotřebuje uživatelské jméno ani heslo, aby začal. „Zřetězené“ znamená, že každá zranitelnost sama o sobě nemusí dát plnou kontrolu, ale použity v posloupnosti ano.

To je běžný vzorec u závažných průniků. Jedna chyba může útočníkovi umožnit dostat se někam, kam by neměl, další může zvýšit jeho oprávnění a třetí mu může umožnit spouštět příkazy na serveru. Rané popisy incidentu jej rámovaly jako jeden zero-day, ale zřetězená povaha naznačuje, že útok byl promyšlenější a rozsáhlejší, než se nejprve uvádělo.

Zdrojový článek uvádí, že útoky zasáhly více odvětví. K tomu v poskytnutých materiálech nemáme více podrobností, takže by bylo chybou zde hádat konkrétní oběti, počty záznamů nebo časové osy. Organizace provozující PeopleSoft by se měly spolehnout na vlastní pokyny Oracle a své bezpečnostní týmy ohledně konkrétností.

Kdo je v ohrožení po narušení PeopleSoft

PeopleSoft se obvykle používá k provozování back-office funkcí uvnitř velkých organizací. Když je server, který jej provozuje, převzat, expozice se obvykle rozšiřuje na lidi, jejichž záznamy systém uchovává, nejen na organizaci samotnou.

To může zahrnovat:

  • Zaměstnance, jejichž informace o HR nebo mzdách mohou být uloženy v propojených systémech.
  • Studenty a uchazeče, pokud jejich škola používá PeopleSoft pro záznamy nebo přijímací řízení.
  • Zákazníky, pokud organizace uchovává jejich údaje v systému podporovaném PeopleSoft.

Klíčovým bodem je, že nemusíte udělat nic špatného. Pokud váš zaměstnavatel, škola nebo společnost, se kterou obchodujete, provozuje zranitelný server, vaše data mohou být v ohrožení, i když jste se do něj nikdy nepřihlásili. Zda k vašim informacím bylo skutečně přistoupeno, závisí na organizaci, a proto je důležité žádat o jasné oznámení.

Jak stolená data živí phishing a převzetí účtů

Samotné převzetí serveru je jen prvním krokem. To, co se s odcizenými daty stane poté, je často to, co jednotlivce bolí nejvíce.

Jména, e-mailové adresy, pracovní pozice a interní podrobnosti činí phishingové zprávy mnohem přesvědčivějšími. Zpráva, která odkazuje na vašeho skutečného zaměstnavatele, oddělení nebo školu, vypadá legitimně způsobem, jakým obecný podvod nevypadá. Útočníci se mohou vydávat za HR, IT podporu nebo finanční oddělení a žádat vás, abyste „ověřili“ heslo nebo klikli na odkaz.

Pokud znovu používáte hesla napříč službami, jakékoli přihlašovací údaje odhalené při narušení mohou být také vyzkoušeny jinde, což je technika známá jako credential stuffing. To je důvod, proč se následné útoky mohou objevit týdny po původním průniku a proč narušení, o kterém jste nikdy neslyšeli, může stále vést k podezřelému e-mailu ve vaší schránce.

Zřetězené zneužití není jedinečné pro tento případ. Naše pokrytí toho, jak UTA0565 zřetězil zero-day zranitelnosti Chrome a Windows, ukazuje stejnou strategii: propojení několika slabin tak, aby společně dosáhly toho, čeho by žádná sama nedosáhla.

Co to znamená pro vás

Pokud jste zaměstnanec, student nebo zákazník organizace, která používá PeopleSoft, nemůžete server sami opravit. Co můžete udělat, je snížit škody, pokud vaše data byla odhalena:

  • Předpokládejte, že zprávy odkazující na vašeho zaměstnavatele nebo školu mohou být vytvořeny z uniklých údajů.
  • Chraňte své účty tak, aby samotné odcizené heslo nestačilo.
  • Zůstaňte v pozoru ohledně oznámení od organizace a požádejte o ně, pokud žádné nepřijde.

VPN vás zde neochrání. Expozice nastala na serverech organizace, ne na vašem připojení, takže záleží na zabezpečení účtů a ostražitosti.

Co dělat, pokud váš zaměstnavatel nebo škola používá PeopleSoft

  1. Zeptejte se přímo. Kontaktujte své HR, IT nebo studijní oddělení a zeptejte se, zda provozují PeopleSoft, zda byli zasaženi a zda se plánuje oznámení o narušení.
  2. Zapněte vícefaktorové ověřování (MFA) u pracovních, školních, e-mailových a bankovních účtů. Aplikace pro ověřování nebo hardwarový klíč jsou silnější než SMS kódy.
  3. Změňte znovu použitá hesla a použijte správce hesel, aby každý účet měl jedinečné heslo.
  4. Sledujte své účty. Dávejte pozor na neobvyklá přihlášení, e-maily pro resetování hesla, které jste nepožadovali, a neznámou finanční aktivitu.
  5. Přistupujte k neočekávaným zprávám s podezřením. Pokud e-mail nebo text tvrdí, že je od HR, IT nebo školní kanceláře, neklikejte na jeho odkazy. Přejděte přímo na oficiální stránky nebo zavolejte na známé číslo.
  6. Uchovávejte záznamy o jakémkoli oznámení o narušení, které obdržíte, a řiďte se jeho radami ohledně monitorování kreditu nebo ochrany identity.

Hlavní závěr

Útok ShinyHunters na Oracle PeopleSoft je připomínkou, že vaše data jsou jen tak bezpečná, jak nejslabší server, který je uchovává. Posun od jednoho zero-day ke třem zřetězeným zranitelnostem ukazuje, jak útočníci budují spolehlivé cesty do podnikových systémů bez potřeby jediného hesla.

Nemůžete ovlivnit, jak váš zaměstnavatel nebo škola opravuje svůj software, ale můžete zapnout MFA, sledovat své účty, zpochybňovat neočekávané zprávy a žádat o oznámení o narušení písemně. Pro další příklad toho, jak zřetězené zneužití zero-day funguje v praxi, si přečtěte o UTA0565 a útocích CLEANGULP.