Атака ShinyHunters на Oracle PeopleSoft получила новую деталь: то, что сначала описывалось как одна zero-day уязвимость, оказалось тремя связанными уязвимостями. Согласно отчёту, ShinyHunters объединил уязвимости, чтобы захватывать серверы без необходимости входа в систему, и атаки охватили множество отраслей.
Это важно далеко за пределами ИТ-команд. PeopleSoft — это корпоративное программное обеспечение, поэтому люди, наиболее затронутые последствиями, возможно, никогда напрямую не касались уязвимой системы. В этой статье объясняется, что было сообщено, кто может быть подвержен риску и какие практические шаги можно предпринять.
Что произошло: три связанные уязвимости PeopleSoft
Ключевой вывод заключается в том, что ShinyHunters эксплуатировал три связанные уязвимости Oracle PeopleSoft, которые позволили осуществить неаутентифицированный захват сервера. «Неаутентифицированный» означает, что злоумышленнику не нужны имя пользователя или пароль для начала. «Связанные» означает, что каждая уязвимость сама по себе может не давать полного контроля, но при использовании в последовательности они это делают.
Это распространённая схема в серьёзных вторжениях. Одна ошибка может позволить злоумышленнику получить доступ к чему-то, к чему он не должен иметь доступа, другая может повысить его привилегии, а третья — позволить ему выполнять команды на сервере. Ранние описания инцидента представляли его как одну zero-day уязвимость, но связанный характер предполагает, что атака была более продуманной и сложной, чем сообщалось изначально.
В исходной статье говорится, что атаки охватили множество отраслей. У нас нет больше деталей, чем это, в предоставленном материале, поэтому было бы ошибкой строить догадки о конкретных жертвах, количестве записей или сроках. Организациям, использующим PeopleSoft, следует полагаться на собственные рекомендации Oracle и свои службы безопасности для получения конкретной информации.
Кто подвержен риску после взлома PeopleSoft
PeopleSoft обычно используется для выполнения внутренних функций в крупных организациях. Когда сервер, на котором он работает, захвачен, подверженность риску обычно распространяется на людей, чьи записи хранит система, а не только на саму организацию.
Это может включать:
- Сотрудников, чья информация об отделе кадров или заработной плате может храниться в связанных системах.
- Студентов и абитуриентов, если их учебное заведение использует PeopleSoft для ведения записей или приёма.
- Клиентов, если организация хранит их данные в системе на базе PeopleSoft.
Ключевой момент заключается в том, что вам не нужно было делать ничего неправильного. Если ваш работодатель, учебное заведение или компания, с которой вы ведёте дела, использует уязвимый сервер, ваши данные могут быть под угрозой, даже если вы никогда не входили в него. Был ли фактически осуществлён доступ к вашей информации, зависит от организации, поэтому важно запрашивать чёткое уведомление.
Как украденные данные питают фишинг и захват аккаунтов
Сам захват сервера — это только первый шаг. То, что происходит с украденными данными потом, часто наиболее сильно вредит людям.
Имена, адреса электронной почты, должности и внутренние детали делают фишинговые сообщения гораздо более убедительными. Сообщение, которое ссылается на вашего реального работодателя, отдел или учебное заведение, выглядит легитимным так, как не выглядит типичная мошенническая схема. Злоумышленники могут выдавать себя за отдел кадров, ИТ-поддержку или офис финансовой помощи и просить вас «подтвердить» пароль или перейти по ссылке.
Если вы повторно используете пароли в разных сервисах, любые учётные данные, раскрытые при утечке, также могут быть опробованы в других местах — техника, известная как credential stuffing. Вот почему последующие атаки могут появиться спустя недели после первоначального вторжения, и почему утечка, о которой вы никогда не слышали, всё ещё может привести к подозрительному письму в вашем почтовом ящике.
Связанная эксплуатация не уникальна для этого случая. Наш материал о том, как UTA0565 связывает zero-day уязвимости Chrome и Windows, показывает ту же стратегию: объединение нескольких слабых мест, чтобы вместе они достигли того, чего ни одно не могло бы достичь в одиночку.
Что это значит для вас
Если вы являетесь сотрудником, студентом или клиентом организации, использующей PeopleSoft, вы не можете самостоятельно исправить сервер. Что вы можете сделать, так это снизить ущерб, если ваши данные были раскрыты:
- Исходите из того, что сообщения, ссылающиеся на вашего работодателя или учебное заведение, могут быть составлены из утёкших данных.
- Защитите свои аккаунты так, чтобы одного украденного пароля было недостаточно.
- Следите за уведомлениями от организации и запрашивайте их, если они не приходят.
VPN здесь вам не поможет. Раскрытие произошло на серверах организации, а не на вашем соединении, поэтому именно безопасность аккаунтов и бдительность являются инструментами, которые имеют значение.
Что делать, если ваш работодатель или учебное заведение использует PeopleSoft
- Спросите напрямую. Свяжитесь с отделом кадров, ИТ-службой или приёмной комиссией и спросите, используют ли они PeopleSoft, были ли они затронуты и планируется ли уведомление об утечке.
- Включите многофакторную аутентификацию (MFA) на рабочих, учебных, почтовых и банковских аккаунтах. Приложение-аутентификатор или аппаратный ключ надёжнее SMS-кодов.
- Смените повторно используемые пароли и используйте менеджер паролей, чтобы у каждого аккаунта был уникальный пароль.
- Следите за своими аккаунтами. Обращайте внимание на необычные входы, письма о сбросе пароля, которые вы не запрашивали, и незнакомую финансовую активность.
- Относитесь к неожиданным сообщениям с подозрением. Если электронное письмо или текстовое сообщение утверждает, что оно от отдела кадров, ИТ-службы или учебного офиса, не переходите по его ссылкам. Зайдите на официальный сайт напрямую или позвоните по известному номеру.
- Сохраняйте записи о любом уведомлении об утечке, которое вы получите, и следуйте его рекомендациям по мониторингу кредитов или защите личности.
Главный вывод
Атака ShinyHunters на Oracle PeopleSoft — это напоминание о том, что ваши данные в безопасности настолько, насколько безопасен самый слабый сервер, на котором они хранятся. Переход от одной zero-day уязвимости к трём связанным уязвимостям показывает, как злоумышленники строят надёжные пути во внутренние корпоративные системы, не нуждаясь в единственном пароле.
Вы не можете контролировать, как ваш работодатель или учебное заведение исправляет своё программное обеспечение, но вы можете включить MFA, следить за своими аккаунтами, ставить под сомнение неожиданные сообщения и запрашивать уведомления об утечках в письменной форме. Ещё один пример того, как связанная эксплуатация zero-day уязвимостей работает на практике, читайте в материале о UTA0565 и атаках CLEANGULP.
