Oracle PeopleSoft ShinyHunters saldırısının yeni bir ayrıntısı var: Başlangıçta tek bir zero-day olarak tanımlanan şeyin aslında üç zincirlenmiş açık olduğu ortaya çıktı. Rapora göre ShinyHunters, giriş yapmaya gerek kalmadan sunucuları ele geçirmek için güvenlik açıklarını birleştirdi ve saldırılar birden fazla sektöre yayıldı.

Bu, BT ekiplerinin çok ötesinde önem taşıyor. PeopleSoft bir kurumsal yazılımdır, dolayısıyla en çok etkilenen kişiler savunmasız bir sisteme hiç doğrudan dokunmamış olabilir. Bu yazı nelerin raporlandığını, kimlerin risk altında olabileceğini ve atabileceğiniz pratik adımları açıklıyor.

Ne Oldu: Üç Zincirlenmiş PeopleSoft Açığı

Temel bulgu, ShinyHunters'ın kimlik doğrulaması gerektirmeyen sunucu ele geçirmeyi mümkün kılan üç zincirlenmiş Oracle PeopleSoft açığından yararlandığıdır. "Kimlik doğrulaması gerektirmeyen", bir saldırganın başlamak için kullanıcı adına veya parolaya ihtiyaç duymadığı anlamına gelir. "Zincirlenmiş" ise her açığın tek başına tam kontrol sağlamayabileceği, ancak sırayla kullanıldığında sağladığı anlamına gelir.

Bu, ciddi ihlallerde yaygın bir örüntüdür. Bir hata saldırganın olmaması gereken bir yere erişmesini sağlayabilir, bir diğeri ayrıcalıklarını yükseltebilir ve üçüncüsü sunucuda komut çalıştırmasına izin verebilir. Olayın ilk tanımları bunu tek bir zero-day olarak çerçeveliyordu, ancak zincirlenmiş doğası saldırının ilk bildirilenden daha kasıtlı ve karmaşık olduğunu gösteriyor.

Kaynak makale, saldırıların birden fazla sektöre yayıldığını söylüyor. Sağlanan materyalde bundan daha fazla ayrıntıya sahip değiliz, bu nedenle belirli kurbanlar, kayıt sayıları veya zaman çizelgeleri hakkında tahmin yürütmek hata olur. PeopleSoft çalıştıran kuruluşlar, ayrıntılar için Oracle'ın kendi rehberliğine ve güvenlik ekiplerine güvenmelidir.

Bir PeopleSoft İhlalinden Sonra Kimler Risk Altında

PeopleSoft tipik olarak büyük kuruluşlar içindeki arka ofis işlevlerini yürütmek için kullanılır. Onu çalıştıran bir sunucu ele geçirildiğinde, maruz kalma genellikle yalnızca kuruluşun kendisini değil, sistemin kayıtlarını tuttuğu kişileri de kapsar.

Bu şunları içerebilir:

  • Çalışanlar, İK veya bordro bilgileri bağlı sistemlerde saklanıyor olabilir.
  • Öğrenciler ve başvuru sahipleri, okulları kayıt veya kabul işlemleri için PeopleSoft kullanıyorsa.
  • Müşteriler, bir kuruluş bilgilerini PeopleSoft destekli bir sistemde tutuyorsa.

Kilit nokta, yanlış bir şey yapmış olmanız gerekmediğidir. İşvereniniz, okulunuz veya iş yaptığınız bir şirket savunmasız bir sunucu çalıştırıyorsa, ona hiç giriş yapmamış olsanız bile verileriniz risk altında olabilir. Bilgilerinize gerçekten erişilip erişilmediği kuruluşa bağlıdır, bu yüzden açık bir bildirim talep etmek önemlidir.

Çalınan Veriler Kimlik Avı ve Hesap Ele Geçirmeyi Nasıl Besler

Sunucunun ele geçirilmesi yalnızca ilk adımdır. Çalınan verilere daha sonra ne olduğu genellikle bireylere en çok zarar veren şeydir.

Adlar, e-posta adresleri, iş unvanları ve iç ayrıntılar kimlik avı mesajlarını çok daha inandırıcı hale getirir. Gerçek işvereninize, departmanınıza veya okulunuza atıfta bulunan bir mesaj, genel bir dolandırıcılığın olmadığı şekilde meşru görünür. Saldırganlar İK, BT desteği veya bir finansal yardım ofisi kılığına girip sizden bir parolayı "doğrulamanızı" veya bir bağlantıya tıklamanızı isteyebilir.

Hizmetler arasında parolaları yeniden kullanıyorsanız, bir ihlalde açığa çıkan kimlik bilgileri başka yerlerde de denenebilir; bu teknik kimlik bilgisi doldurma olarak bilinir. Bu yüzden takip saldırıları orijinal izinsiz girişten haftalar sonra ortaya çıkabilir ve hiç duymadığınız bir ihlal yine de gelen kutunuzda şüpheli bir e-postaya yol açabilir.

Zincirlenmiş sömürü bu vakaya özgü değildir. UTA0565'in CLEANGULP bırakmak için Chrome ve Windows zero-day'lerini nasıl zincirlediği konusundaki haberimiz aynı stratejiyi gösteriyor: birkaç zayıflığı birbirine bağlayarak hiçbirinin tek başına başaramadığını birlikte başarmak.

Bu Sizin İçin Ne Anlama Geliyor

PeopleSoft kullanan bir kuruluşun çalışanı, öğrencisi veya müşterisiyseniz, sunucuyu kendiniz yamalayamazsınız. Yapabileceğiniz şey, verileriniz açığa çıktıysa hasarı azaltmaktır:

  • İşvereninize veya okulunuza atıfta bulunan mesajların sızdırılmış ayrıntılardan hazırlanmış olabileceğini varsayın.
  • Hesaplarınızı, çalınan bir parolanın tek başına yeterli olmayacağı şekilde koruyun.
  • Kuruluştan gelecek bildirimlere karşı tetikte olun ve hiç gelmezse talep edin.

Bir VPN sizi burada korumaz. Maruz kalma sizin bağlantınızda değil, kuruluşun sunucularında gerçekleşti, bu yüzden önemli olan araçlar hesap güvenliği ve tetikte olmaktır.

İşvereniniz veya Okulunuz PeopleSoft Kullanıyorsa Ne Yapmalı

  1. Doğrudan sorun. İK, BT veya öğrenci işleri ofisinizle iletişime geçin ve PeopleSoft çalıştırıp çalıştırmadıklarını, etkilenip etkilenmediklerini ve bir ihlal bildirimi planlanıp planlanmadığını sorun.
  2. İş, okul, e-posta ve bankacılık hesaplarında çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin. Bir kimlik doğrulayıcı uygulama veya donanım anahtarı SMS kodlarından daha güçlüdür.
  3. Yeniden kullanılan parolaları değiştirin ve her hesabın benzersiz bir parolası olması için bir parola yöneticisi kullanın.
  4. Hesaplarınızı izleyin. Olağandışı oturum açmalara, talep etmediğiniz parola sıfırlama e-postalarına ve tanıdık olmayan finansal faaliyetlere dikkat edin.
  5. Beklenmedik mesajlara şüpheyle yaklaşın. Bir e-posta veya metin İK, BT veya bir okul ofisinden geldiğini iddia ediyorsa bağlantılarına tıklamayın. Doğrudan resmi siteye gidin veya bilinen bir numarayı arayın.
  6. Aldığınız herhangi bir ihlal bildiriminin kaydını tutun ve kredi izleme veya kimlik koruma konusundaki tavsiyelerine uyun.

Çıkarılacak Ders

Oracle PeopleSoft ShinyHunters saldırısı, verilerinizin ancak onu tutan en zayıf sunucu kadar güvende olduğunun bir hatırlatıcısıdır. Tek bir zero-day'den üç zincirlenmiş açığa geçiş, saldırganların tek bir parolaya ihtiyaç duymadan kurumsal sistemlere güvenilir yollar inşa ettiğini gösteriyor.

İşvereninizin veya okulunuzun yazılımını nasıl yamaladığını kontrol edemezsiniz, ancak MFA'yı etkinleştirebilir, hesaplarınızı izleyebilir, beklenmedik mesajları sorgulayabilir ve ihlal bildirimlerini yazılı olarak talep edebilirsiniz. Zincirlenmiş zero-day sömürüsünün pratikte nasıl işlediğine dair bir başka örnek için UTA0565 ve CLEANGULP saldırıları hakkında okuyun.