Atacul ShinyHunters asupra Oracle PeopleSoft are un nou detaliu: ceea ce a fost descris inițial ca o singură vulnerabilitate zero-day se dovedește a fi trei vulnerabilități înlănțuite. Conform raportului, ShinyHunters a combinat vulnerabilitățile pentru a prelua controlul serverelor fără a avea nevoie să se autentifice, iar atacurile au cuprins multiple sectoare.

Acest lucru contează mult dincolo de echipele IT. PeopleSoft este software enterprise, așa că persoanele cele mai afectate ar putea să nu fi atins niciodată direct un sistem vulnerabil. Această postare explică ce s-a raportat, cine ar putea fi expus și ce măsuri practice puteți lua.

Ce s-a întâmplat: trei vulnerabilități PeopleSoft înlănțuite

Constatarea principală este că ShinyHunters a exploatat trei vulnerabilități înlănțuite Oracle PeopleSoft care au permis preluarea controlului serverului fără autentificare. „Fără autentificare" înseamnă că un atacator nu are nevoie de un nume de utilizator sau de o parolă pentru a începe. „Înlănțuite" înseamnă că fiecare vulnerabilitate în parte poate să nu ofere control deplin, dar folosite în succesiune, o fac.

Acesta este un tipar comun în intruziunile grave. O eroare poate permite unui atacator să ajungă unde nu ar trebui, alta îi poate ridica privilegiile, iar a treia îi poate permite să execute comenzi pe server. Descrierile inițiale ale incidentului l-au prezentat ca un singur zero-day, dar natura înlănțuită sugerează că atacul a fost mai deliberat și mai complex decât s-a raportat la început.

Articolul sursă spune că atacurile au cuprins multiple sectoare. Nu avem mai multe detalii decât atât în materialul furnizat, așa că ar fi o greșeală să speculăm despre victime specifice, număr de înregistrări sau cronologii aici. Organizațiile care rulează PeopleSoft ar trebui să se bazeze pe îndrumările proprii ale Oracle și pe echipele lor de securitate pentru detalii.

Cine este în pericol după o breșă PeopleSoft

PeopleSoft este de obicei folosit pentru a gestiona funcții back-office în cadrul organizațiilor mari. Când un server care îl rulează este preluat, expunerea se extinde de obicei la persoanele ale căror date le deține sistemul, nu doar la organizația în sine.

Acestea pot include:

  • Angajați, ale căror informații HR sau de salarizare pot fi stocate în sisteme conectate.
  • Studenți și candidați, dacă școala lor folosește PeopleSoft pentru evidențe sau admitere.
  • Clienți, dacă o organizație le păstrează datele într-un sistem bazat pe PeopleSoft.

Punctul cheie este că nu trebuie să fi făcut nimic greșit. Dacă angajatorul, școala sau o companie cu care faceți afaceri rulează un server vulnerabil, datele dumneavoastră pot fi în pericol chiar dacă nu v-ați autentificat niciodată pe acesta. Dacă informațiile dumneavoastră au fost efectiv accesate depinde de organizație, motiv pentru care a cere o notificare clară contează.

Cum alimentează datele furate phishingul și preluarea conturilor

Preluarea controlului serverului este doar primul pas. Ce se întâmplă cu datele furate ulterior este adesea ceea ce îi afectează cel mai mult pe indivizi.

Numele, adresele de e-mail, titlurile de funcție și detaliile interne fac mesajele de phishing mult mai convingătoare. Un mesaj care face referire la angajatorul, departamentul sau școala dumneavoastră reală pare legitim într-un mod în care o înșelăciune generică nu pare. Atacatorii se pot da drept HR, suport IT sau un birou de ajutor financiar și vă pot cere să „verificați" o parolă sau să dați clic pe un link.

Dacă reutilizați parolele între servicii, orice credențiale expuse într-o breșă pot fi încercate și în altă parte, o tehnică cunoscută sub numele de credential stuffing. De aceea atacurile ulterioare pot apărea la săptămâni după intruziunea originală și de ce o breșă despre care nu ați auzit niciodată poate duce totuși la un e-mail suspect în căsuța dumneavoastră de mesaje.

Exploatarea în lanț nu este unică pentru acest caz. Materialul nostru despre cum UTA0565 lansează în lanț vulnerabilități zero-day Chrome și Windows arată aceeași strategie: conectarea mai multor slăbiciuni astfel încât împreună să realizeze ceea ce niciuna nu ar putea singură.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă sunteți angajat, student sau client al unei organizații care folosește PeopleSoft, nu puteți remedia serverul singur. Ce puteți face este să reduceți daunele dacă datele dumneavoastră au fost expuse:

  • Presupuneți că mesajele care fac referire la angajatorul sau școala dumneavoastră ar putea fi fabricate din detalii scurse.
  • Protejați-vă conturile astfel încât o parolă furată singură să nu fie suficientă.
  • Rămâneți vigilent la notificările din partea organizației și cereți-le dacă nu sosesc.

Un VPN nu vă protejează aici. Expunerea s-a produs pe serverele organizației, nu pe conexiunea dumneavoastră, așa că securitatea conturilor și vigilența sunt instrumentele care contează.

Ce să faceți dacă angajatorul sau școala dumneavoastră folosește PeopleSoft

  1. Întrebați direct. Contactați departamentul HR, IT sau secretariatul și întrebați dacă rulează PeopleSoft, dacă au fost afectați și dacă este planificată o notificare de breșă.
  2. Activați autentificarea multifactor (MFA) pe conturile de serviciu, școlare, de e-mail și bancare. O aplicație de autentificare sau o cheie hardware este mai puternică decât codurile SMS.
  3. Schimbați parolele reutilizate și folosiți un manager de parole astfel încât fiecare cont să aibă una unică.
  4. Monitorizați-vă conturile. Fiți atenți la autentificări neobișnuite, e-mailuri de resetare a parolei pe care nu le-ați solicitat și activitate financiară necunoscută.
  5. Tratați mesajele neașteptate cu suspiciune. Dacă un e-mail sau un mesaj text pretinde a fi de la HR, IT sau un birou școlar, nu dați clic pe linkurile sale. Accesați direct site-ul oficial sau apelați un număr cunoscut.
  6. Păstrați evidența oricărei notificări de breșă pe care o primiți și urmați sfaturile acesteia privind monitorizarea creditului sau protecția identității.

Concluzia

Atacul ShinyHunters asupra Oracle PeopleSoft este o reamintire că datele dumneavoastră sunt la fel de sigure precum cel mai slab server care le deține. Trecerea de la un singur zero-day la trei vulnerabilități înlănțuite arată cum atacatorii construiesc căi fiabile în sistemele enterprise fără a avea nevoie de o singură parolă.

Nu puteți controla modul în care angajatorul sau școala dumneavoastră își remediază software-ul, dar puteți activa MFA, vă puteți monitoriza conturile, puteți cuestiona mesajele neașteptate și puteți cere notificări de breșă în scris. Pentru un alt exemplu despre cum funcționează în practică exploatarea în lanț a vulnerabilităților zero-day, citiți despre UTA0565 și atacurile CLEANGULP.