การโจมตี Oracle PeopleSoft โดย ShinyHunters มีรายละเอียดใหม่: สิ่งที่แรกเริ่มถูกอธิบายว่าเป็น zero-day เดียว กลับกลายเป็นช่องโหว่สามช่องที่ถูกล่ามโซ่เข้าด้วยกัน ตามรายงาน ระบุว่า ShinyHunters ได้รวมช่องโหว่ต่างๆ เข้าด้วยกันเพื่อยึดครองเซิร์ฟเวอร์โดยไม่จำเป็นต้องเข้าสู่ระบบ และการโจมตีดังกล่าวได้ครอบคลุมหลายภาคส่วน
เรื่องนี้มีความสำคัญเกินกว่าที่จะจำกัดอยู่เพียงทีมไอที PeopleSoft เป็นซอฟต์แวร์องค์กร ดังนั้นผู้ที่ได้รับผลกระทบมากที่สุดอาจไม่เคยสัมผัสระบบที่มีช่องโหว่โดยตรงเลย บทความนี้อธิบายสิ่งที่ถูกรายงาน ผู้ที่อาจเสี่ยงต่อการได้รับผลกระทบ และขั้นตอนปฏิบัติที่คุณสามารถทำได้
เกิดอะไรขึ้น: ช่องโหว่ PeopleSoft สามช่องที่ถูกล่ามโซ่
ข้อค้นพบหลักคือ ShinyHunters ใช้ประโยชน์จากช่องโหว่ Oracle PeopleSoft สามช่องที่ถูกล่ามโซ่เข้าด้วยกัน ซึ่งทำให้สามารถยึดครองเซิร์ฟเวอร์ได้โดยไม่ต้องยืนยันตัวตน "ไม่ต้องยืนยันตัวตน" (unauthenticated) หมายความว่าผู้โจมตีไม่จำเป็นต้องมีชื่อผู้ใช้หรือรหัสผ่านเพื่อเริ่มต้น "ล่ามโซ่" (chained) หมายความว่าแต่ละช่องโหว่เพียงลำพังอาจไม่ได้ให้การควบคุมเต็มรูปแบบ แต่เมื่อใช้ร่วมกันตามลำดับแล้วก็สามารถทำได้
นี่เป็นรูปแบบที่พบบ่อยในการบุกรุกที่ร้ายแรง บั๊กหนึ่งอาจทำให้ผู้โจมตีเข้าถึงสิ่งที่พวกเขาไม่ควรเข้าถึงได้ อีกตัวอาจยกระดับสิทธิ์ของพวกเขา และตัวที่สามอาจทำให้พวกเขารันคำสั่งบนเซิร์ฟเวอร์ได้ คำอธิบายเบื้องต้นของเหตุการณ์นี้มองว่าเป็น zero-day เพียงตัวเดียว แต่ลักษณะการล่ามโซ่บ่งชี้ว่าการโจมตีนั้นตั้งใจและซับซ้อนกว่าที่รายงานในตอนแรก
บทความต้นทางระบุว่าการโจมตีครอบคลุมหลายภาคส่วน เราไม่มีรายละเอียดมากไปกว่านั้นในเนื้อหาที่ได้รับ ดังนั้นการคาดเดาเกี่ยวกับเหยื่อเฉพาะ จำนวนบันทึก หรือกรอบเวลาจะเป็นความผิดพลาด องค์กรที่ใช้งาน PeopleSoft ควรอ้างอิงคำแนะนำของ Oracle เองและทีมความปลอดภัยของตนสำหรับรายละเอียดเฉพาะ
ใครบ้างที่เสี่ยงหลังการละเมิดข้อมูล PeopleSoft
PeopleSoft มักถูกใช้เพื่อดำเนินงานส่วนหลังบ้านภายในองค์กรขนาดใหญ่ เมื่อเซิร์ฟเวอร์ที่รันระบบนี้ถูกยึดครอง ความเสี่ยงมักขยายไปถึงผู้ที่ระบบจัดเก็บข้อมูลของพวกเขา ไม่ใช่เพียงองค์กรเท่านั้น
ซึ่งอาจรวมถึง:
- พนักงาน ซึ่งข้อมูลทรัพยากรบุคคลหรือเงินเดือนอาจถูกจัดเก็บในระบบที่เชื่อมต่อกัน
- นักเรียนและผู้สมัคร หากโรงเรียนของพวกเขาใช้ PeopleSoft สำหรับบันทึกหรือการรับสมัคร
- ลูกค้า หากองค์กรจัดเก็บรายละเอียดของพวกเขาไว้ในระบบที่ใช้ PeopleSoft
ประเด็นสำคัญคือคุณไม่จำเป็นต้องทำอะไรผิดเลย หากนายจ้าง โรงเรียน หรือบริษัทที่คุณติดต่อธุรกิจด้วยรันเซิร์ฟเวอร์ที่มีช่องโหว่ ข้อมูลของคุณอาจตกอยู่ในความเสี่ยงแม้ว่าคุณจะไม่เคยเข้าสู่ระบบนั้นก็ตาม ว่าข้อมูลของคุณถูกเข้าถึงจริงหรือไม่นั้นขึ้นอยู่กับองค์กร ซึ่งเป็นเหตุผลว่าทำไมการขอรับการแจ้งเตือนที่ชัดเจนจึงสำคัญ
ข้อมูลที่ถูกขโมยเป็นเชื้อเพลิงให้การฟิชชิงและการยึดบัญชีอย่างไร
การยึดครองเซิร์ฟเวอร์เป็นเพียงขั้นตอนแรก สิ่งที่เกิดขึ้นกับข้อมูลที่ถูกขโมยหลังจากนั้นมักเป็นสิ่งที่สร้างความเสียหายให้กับบุคคลมากที่สุด
ชื่อ ที่อยู่อีเมล ตำแหน่งงาน และรายละเอียดภายในทำให้ข้อความฟิชชิงน่าเชื่อถือมากขึ้นอย่างมาก ข้อความที่อ้างถึงนายจ้าง แผนก หรือโรงเรียนจริงของคุณดูเหมือนถูกต้องในแบบที่การหลอกลวงทั่วไปทำไม่ได้ ผู้โจมตีสามารถปลอมตัวเป็นฝ่ายทรัพยากรบุคคล ฝ่ายสนับสนุนไอที หรือสำนักงานช่วยเหลือทางการเงิน และขอให้คุณ "ยืนยัน" รหัสผ่านหรือคลิกที่ลิงก์
หากคุณใช้รหัสผ่านซ้ำกันในหลายบริการ ข้อมูลรับรองที่รั่วไหลจากการละเมิดข้อมูลก็อาจถูกนำไปลองใช้ที่อื่นได้เช่นกัน เทคนิคนี้เรียกว่า credential stuffing ซึ่งเป็นเหตุผลว่าทำไมการโจมตีต่อเนื่องจึงอาจปรากฏขึ้นหลายสัปดาห์หลังจากการบุกรุกครั้งแรก และเป็นเหตุผลว่าทำไมการละเมิดข้อมูลที่คุณไม่เคยได้ยินมาก่อนยังสามารถนำไปสู่อีเมลที่น่าสงสัยในกล่องจดหมายของคุณได้
การใช้ประโยชน์จากช่องโหว่แบบล่ามโซ่ไม่ได้มีเฉพาะในกรณีนี้ บทความของเราเกี่ยวกับวิธีที่ UTA0565 ล่ามโซ่ zero-day ของ Chrome และ Windows แสดงกลยุทธ์เดียวกัน: การเชื่อมโยงจุดอ่อนหลายจุดเพื่อให้เมื่อรวมกันแล้วบรรลุสิ่งที่ไม่มีจุดใดทำได้เพียงลำพัง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณเป็นพนักงาน นักเรียน หรือลูกค้าขององค์กรที่ใช้ PeopleSoft คุณไม่สามารถแพตช์เซิร์ฟเวอร์ด้วยตัวเองได้ สิ่งที่คุณทำได้คือลดความเสียหายหากข้อมูลของคุณถูกเปิดเผย:
- สันนิษฐานว่าข้อความที่อ้างถึงนายจ้างหรือโรงเรียนของคุณอาจถูกสร้างขึ้นจากรายละเอียดที่รั่วไหล
- ปกป้องบัญชีของคุณเพื่อให้รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวไม่เพียงพอ
- เฝ้าระวังการแจ้งเตือนจากองค์กร และขอรับการแจ้งเตือนหากไม่มีมา
VPN ไม่ได้ช่วยปกป้องคุณในกรณีนี้ การเปิดเผยข้อมูลเกิดขึ้นบนเซิร์ฟเวอร์ขององค์กร ไม่ใช่บนการเชื่อมต่อของคุณ ดังนั้นความปลอดภัยของบัญชีและความระมัดระวังคือเครื่องมือที่สำคัญ
สิ่งที่ควรทำหากนายจ้างหรือโรงเรียนของคุณใช้ PeopleSoft
- ถามโดยตรง ติดต่อฝ่ายทรัพยากรบุคคล ไอที หรือสำนักงานทะเบียนของโรงเรียน และถามว่าพวกเขาใช้ PeopleSoft หรือไม่ ได้รับผลกระทบหรือไม่ และมีการวางแผนแจ้งเตือนการละเมิดข้อมูลหรือไม่
- เปิดใช้งานการยืนยันตัวตนหลายปัจจัย (MFA) บนบัญชีงาน โรงเรียน อีเมล และธนาคาร แอปยืนยันตัวตนหรือฮาร์ดแวร์คีย์มีความแข็งแกร่งกว่ารหัส SMS
- เปลี่ยนรหัสผ่านที่ใช้ซ้ำ และใช้ตัวจัดการรหัสผ่านเพื่อให้แต่ละบัญชีมีรหัสผ่านที่ไม่ซ้ำกัน
- ตรวจสอบบัญชีของคุณ เฝ้าระวังการเข้าสู่ระบบที่ผิดปกติ อีเมลรีเซ็ตรหัสผ่านที่คุณไม่ได้ร้องขอ และกิจกรรมทางการเงินที่ไม่คุ้นเคย
- สงสัยข้อความที่ไม่คาดคิด หากอีเมลหรือข้อความอ้างว่ามาจากฝ่ายทรัพยากรบุคคล ไอที หรือสำนักงานของโรงเรียน อย่าคลิกลิงก์ เข้าเว็บไซต์ทางการโดยตรงหรือโทรไปยังหมายเลขที่รู้จัก
- เก็บบันทึกการแจ้งเตือนการละเมิดข้อมูล ที่คุณได้รับ และปฏิบัติตามคำแนะนำเกี่ยวกับการติดตามเครดิตหรือการปกป้องข้อมูลส่วนบุคคล
บทสรุป
การโจมตี Oracle PeopleSoft โดย ShinyHunters เป็นเครื่องเตือนใจว่าข้อมูลของคุณปลอดภัยเพียงเท่ากับเซิร์ฟเวอร์ที่อ่อนแอที่สุดที่จัดเก็บมันไว้ การเปลี่ยนจาก zero-day หนึ่งตัวเป็นช่องโหว่สามช่องที่ถูกล่ามโซ่แสดงให้เห็นว่าผู้โจมตีสร้างเส้นทางที่เชื่อถือได้เข้าสู่ระบบองค์กรได้อย่างไรโดยไม่ต้องใช้รหัสผ่านแม้แต่ตัวเดียว
คุณไม่สามารถควบคุมวิธีที่นายจ้างหรือโรงเรียนแพตช์ซอฟต์แวร์ของพวกเขาได้ แต่คุณสามารถเปิดใช้งาน MFA ตรวจสอบบัญชีของคุณ ตั้งคำถามกับข้อความที่ไม่คาดคิด และขอรับการแจ้งเตือนการละเมิดข้อมูลเป็นลายลักษณ์อักษร สำหรับอีกตัวอย่างหนึ่งว่าการใช้ประโยชน์จาก zero-day แบบล่ามโซ่ทำงานอย่างไรในทางปฏิบัติ อ่านเกี่ยวกับ UTA0565 และการโจมตี CLEANGULP
