Η επίθεση ShinyHunters στην Oracle PeopleSoft έχει μια νέα λεπτομέρεια: αυτό που αρχικά περιγράφηκε ως ένα μόνο zero-day αποδεικνύεται ότι είναι τρεις αλυσιδωτές ευπάθειες. Σύμφωνα με την αναφορά, οι ShinyHunters συνδύασαν τις ευπάθειες για να καταλάβουν διακομιστές χωρίς να χρειάζεται να συνδεθούν, και οι επιθέσεις εκτείνονται σε πολλούς τομείς.

Αυτό έχει σημασία πολύ πέρα από τις ομάδες IT. Το PeopleSoft είναι εταιρικό λογισμικό, οπότε οι άνθρωποι που επηρεάζονται περισσότερο μπορεί να μην έχουν αγγίξει ποτέ άμεσα έναν ευάλωτο διακομιστή. Αυτό το άρθρο εξηγεί τι αναφέρθηκε, ποιοι μπορεί να εκτεθούν και ποια πρακτικά βήματα μπορείτε να κάνετε.

Τι συνέβη: Τρεις αλυσιδωτές ευπάθειες του PeopleSoft

Το βασικό εύρημα είναι ότι οι ShinyHunters εκμεταλλεύτηκαν τρεις αλυσιδωτές ευπάθειες του Oracle PeopleSoft που επέτρεψαν κατάληψη διακομιστή χωρίς έλεγχο ταυτότητας. «Χωρίς έλεγχο ταυτότητας» σημαίνει ότι ο επιτιθέμενος δεν χρειάζεται όνομα χρήστη ή κωδικό πρόσβασης για να ξεκινήσει. «Αλυσιδωτές» σημαίνει ότι κάθε ευπάθεια από μόνη της μπορεί να μην παρέχει πλήρη έλεγχο, αλλά όταν χρησιμοποιηθούν διαδοχικά, τον παρέχουν.

Αυτό είναι ένα συνηθισμένο μοτίβο σε σοβαρές παραβιάσεις. Μια αδυναμία μπορεί να επιτρέψει σε έναν επιτιθέμενο να φτάσει σε κάτι στο οποίο δεν θα έπρεπε, μια άλλη μπορεί να αυξήσει τα προνόμιά του και μια τρίτη μπορεί να του επιτρέψει να εκτελέσει εντολές στον διακομιστή. Οι πρώιμες περιγραφές του περιστατικού το παρουσίαζαν ως ένα zero-day, αλλά η αλυσιδωτή φύση υποδηλώνει ότι η επίθεση ήταν πιο σκόπιμη και περίπλοκη από ό,τι αναφέρθηκε αρχικά.

Το άρθρο πηγής αναφέρει ότι οι επιθέσεις εκτείνονταν σε πολλούς τομείς. Δεν έχουμε περισσότερες λεπτομέρειες από αυτό στο παρεχόμενο υλικό, επομένως θα ήταν λάθος να μαντέψουμε συγκεκριμένα θύματα, αριθμούς εγγραφών ή χρονοδιαγράμματα εδώ. Οι οργανισμοί που χρησιμοποιούν PeopleSoft θα πρέπει να βασίζονται στις οδηγίες της ίδιας της Oracle και στις ομάδες ασφαλείας τους για τις λεπτομέρειες.

Ποιος κινδυνεύει μετά από παραβίαση του PeopleSoft

Το PeopleSoft χρησιμοποιείται συνήθως για τη λειτουργία back-office λειτουργιών μέσα σε μεγάλους οργανισμούς. Όταν ένας διακομιστής που το εκτελεί καταληφθεί, η έκθεση συνήθως επεκτείνεται στους ανθρώπους των οποίων τα δεδομένα κατέχει το σύστημα, όχι μόνο στον ίδιο τον οργανισμό.

Αυτό μπορεί να περιλαμβάνει:

  • Εργαζόμενους, των οποίων οι πληροφορίες HR ή μισθοδοσίας μπορεί να είναι αποθηκευμένες σε συνδεδεμένα συστήματα.
  • Φοιτητές και υποψηφίους, εάν το σχολείο τους χρησιμοποιεί το PeopleSoft για αρχεία ή εισαγωγές.
  • Πελάτες, εάν ένας οργανισμός διατηρεί τα στοιχεία τους σε σύστημα που βασίζεται στο PeopleSoft.

Το βασικό σημείο είναι ότι δεν χρειάζεται να έχετε κάνει τίποτα λάθος. Εάν ο εργοδότης σας, το σχολείο σας ή μια εταιρεία με την οποία συνεργάζεστε εκτελεί έναν ευάλωτο διακομιστή, τα δεδομένα σας μπορεί να κινδυνεύουν ακόμη και αν δεν συνδεθήκατε ποτέ σε αυτόν. Το αν οι πληροφορίες σας προσπελάστηκαν πραγματικά εξαρτάται από τον οργανισμό, γι' αυτό είναι σημαντικό να ζητάτε σαφή ειδοποίηση.

Πώς τα κλεμμένα δεδομένα τροφοδοτούν το phishing και την κατάληψη λογαριασμών

Η ίδια η κατάληψη του διακομιστή είναι μόνο το πρώτο βήμα. Το τι συμβαίνει στα κλεμμένα δεδομένα στη συνέχεια είναι συχνά αυτό που βλάπτει περισσότερο τα άτομα.

Ονόματα, διευθύνσεις email, τίτλοι θέσεων εργασίας και εσωτερικές λεπτομέρειες κάνουν τα μηνύματα phishing πολύ πιο πειστικά. Ένα μήνυμα που αναφέρει τον πραγματικό σας εργοδότη, τμήμα ή σχολείο φαίνεται νόμιμο με τρόπο που μια γενική απάτη δεν φαίνεται. Οι επιτιθέμενοι μπορούν να υποδυθούν το HR, την υποστήριξη IT ή ένα γραφείο οικονομικής ενίσχυσης και να σας ζητήσουν να «επαληθεύσετε» έναν κωδικό πρόσβασης ή να κάνετε κλικ σε έναν σύνδεσμο.

Εάν επαναχρησιμοποιείτε κωδικούς πρόσβασης σε διάφορες υπηρεσίες, τυχόν διαπιστευτήρια που εκτέθηκαν σε μια παραβίαση μπορούν επίσης να δοκιμαστούν αλλού, μια τεχνική γνωστή ως credential stuffing. Γι' αυτό οι επακόλουθες επιθέσεις μπορεί να εμφανιστούν εβδομάδες μετά την αρχική εισβολή, και γι' αυτό μια παραβίαση για την οποία δεν ακούσατε ποτέ μπορεί να οδηγήσει σε ένα ύποπτο email στα εισερχόμενά σας.

Η αλυσιδωτή εκμετάλλευση δεν είναι μοναδική σε αυτή την περίπτωση. Η κάλυψή μας για το πώς το UTA0565 συνδυάζει zero-days των Chrome και Windows δείχνει την ίδια στρατηγική: τη σύνδεση πολλών αδυναμιών ώστε μαζί να επιτυγχάνουν αυτό που καμία δεν θα μπορούσε μόνη της.

Τι σημαίνει αυτό για εσάς

Εάν είστε εργαζόμενος, φοιτητής ή πελάτης ενός οργανισμού που χρησιμοποιεί PeopleSoft, δεν μπορείτε να επιδιορθώσετε τον διακομιστή μόνοι σας. Αυτό που μπορείτε να κάνετε είναι να μειώσετε τη ζημιά εάν τα δεδομένα σας εκτέθηκαν:

  • Να υποθέτετε ότι μηνύματα που αναφέρουν τον εργοδότη ή το σχολείο σας μπορεί να είναι κατασκευασμένα από διαρρεύσαντα στοιχεία.
  • Να προστατεύετε τους λογαριασμούς σας ώστε ένα κλεμμένος κωδικός πρόσβασης από μόνος του να μην αρκεί.
  • Να μένετε σε εγρήγορση για ειδοποιήσεις από τον οργανισμό, και να τις ζητάτε εάν δεν φτάσει καμία.

Ένα VPN δεν σας προστατεύει εδώ. Η έκθεση συνέβη στους διακομιστές του οργανισμού, όχι στη σύνδεσή σας, οπότε η ασφάλεια λογαριασμού και η επαγρύπνηση είναι τα εργαλεία που μετράνε.

Τι να κάνετε εάν ο εργοδότης ή το σχολείο σας χρησιμοποιεί PeopleSoft

  1. Ρωτήστε απευθείας. Επικοινωνήστε με το HR, το IT ή το γραφείο μητρώου σας και ρωτήστε εάν χρησιμοποιούν PeopleSoft, εάν επηρεάστηκαν και εάν σχεδιάζεται ειδοποίηση παραβίασης.
  2. Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) σε λογαριασμούς εργασίας, σχολείου, email και τραπεζικούς. Μια εφαρμογή authenticator ή ένα κλειδί υλικού είναι ισχυρότερα από κωδικούς SMS.
  3. Αλλάξτε επαναχρησιμοποιημένους κωδικούς πρόσβασης και χρησιμοποιήστε έναν διαχειριστή κωδικών πρόσβασης ώστε κάθε λογαριασμός να έχει μοναδικό.
  4. Παρακολουθείτε τους λογαριασμούς σας. Προσέξτε για ασυνήθιστες συνδέσεις, email επαναφοράς κωδικού πρόσβασης που δεν ζητήσατε και άγνωστη οικονομική δραστηριότητα.
  5. Αντιμετωπίστε τα απροσδόκητα μηνύματα με καχυποψία. Εάν ένα email ή SMS ισχυρίζεται ότι είναι από το HR, το IT ή ένα σχολικό γραφείο, μην κάνετε κλικ στους συνδέσμους του. Μεταβείτε απευθείας στον επίσημο ιστότοπο ή καλέστε έναν γνωστό αριθμό.
  6. Κρατήστε αρχεία οποιασδήποτε ειδοποίησης παραβίασης λάβετε και ακολουθήστε τις συμβουλές της σχετικά με την παρακολούθηση πίστωσης ή την προστασία ταυτότητας.

Το συμπέρασμα

Η επίθεση ShinyHunters στην Oracle PeopleSoft είναι μια υπενθύμιση ότι τα δεδομένα σας είναι τόσο ασφαλή όσο ο πιο αδύναμος διακομιστής που τα κατέχει. Η μετατόπιση από ένα zero-day σε τρεις αλυσιδωτές ευπάθειες δείχνει πώς οι επιτιθέμενοι χτίζουν αξιόπιστες διαδρομές σε εταιρικά συστήματα χωρίς να χρειάζονται έναν μόνο κωδικό πρόσβασης.

Δεν μπορείτε να ελέγξετε πώς ο εργοδότης ή το σχολείο σας επιδιορθώνει το λογισμικό του, αλλά μπορείτε να ενεργοποιήσετε το MFA, να παρακολουθείτε τους λογαριασμούς σας, να αμφισβητείτε τα απροσδόκητα μηνύματα και να ζητάτε ειδοποιήσεις παραβίασης γραπτώς. Για ένα άλλο παράδειγμα του πώς λειτουργεί στην πράξη η αλυσιδωτή εκμετάλλευση zero-day, διαβάστε για το UTA0565 και τις επιθέσεις CLEANGULP.