Атака ShinyHunters на Oracle PeopleSoft має нову деталь: те, що спочатку описували як один zero-day, виявилося трьома об’єднаними вразливостями. Згідно зі звітом, ShinyHunters поєднали вразливості, щоб захоплювати сервери без потреби входити в систему, і атаки охопили кілька секторів.

Це важливо далеко не лише для ІТ-команд. PeopleSoft — це корпоративне програмне забезпечення, тому люди, яких це найбільше стосується, могли ніколи безпосередньо не торкатися вразливої системи. У цій статті пояснюється, що було повідомлено, хто може бути під загрозою та яких практичних кроків можна вжити.

Що сталося: три об’єднані вразливості PeopleSoft

Ключовий висновок полягає в тому, що ShinyHunters використали три об’єднані вразливості Oracle PeopleSoft, які дали змогу захопити сервер без автентифікації. «Без автентифікації» означає, що зловмиснику не потрібні ім’я користувача чи пароль, щоб почати. «Об’єднані» означає, що кожна вразливість окремо може не давати повного контролю, але використані послідовно вони його дають.

Це поширена схема в серйозних вторгненнях. Одна помилка може дозволити зловмиснику дістатися до чогось, до чого він не повинен мати доступу, інша може підвищити його привілеї, а третя — дозволити виконувати команди на сервері. Ранні описи інциденту подавали його як один zero-day, але об’єднаний характер свідчить про те, що атака була більш навмисною та складною, ніж повідомлялося спочатку.

У вихідній статті йдеться, що атаки охопили кілька секторів. У наданих матеріалах ми не маємо більше деталей, тому було б помилкою тут гадати про конкретних постраждалих, кількість записів чи часові рамки. Організаціям, які використовують PeopleSoft, слід покладатися на власні рекомендації Oracle та свої команди безпеки щодо конкретики.

Хто під загрозою після злому PeopleSoft

PeopleSoft зазвичай використовується для виконання внутрішніх бізнес-функцій у великих організаціях. Коли сервер, на якому він працює, захоплено, ризик зазвичай поширюється на людей, чиї записи зберігає система, а не лише на саму організацію.

До них можуть належати:

  • Працівники, чия інформація з HR або payroll може зберігатися в пов’язаних системах.
  • Студенти та абітурієнти, якщо їхній навчальний заклад використовує PeopleSoft для записів або прийому.
  • Клієнти, якщо організація зберігає їхні дані в системі на базі PeopleSoft.

Ключовий момент: вам не обов’язково робити щось неправильно. Якщо ваш роботодавець, навчальний заклад або компанія, з якою ви маєте справу, використовує вразливий сервер, ваші дані можуть бути під загрозою, навіть якщо ви ніколи не входили до нього. Чи справді отримали доступ до вашої інформації, залежить від організації, тому важливо вимагати чіткого повідомлення.

Як викрадені дані живлять фішинг і захоплення акаунтів

Саме захоплення сервера — лише перший крок. Те, що відбувається з викраденими даними потім, часто завдає людям найбільшої шкоди.

Імена, адреси електронної пошти, посади та внутрішні деталі роблять фішингові повідомлення значно переконливішими. Повідомлення, яке згадує ваш реального роботодавця, відділ або навчальний заклад, виглядає легітимним так, як цього не робить типовий шахрайський лист. Зловмисники можуть видавати себе за HR, ІТ-підтримку або офіс фінансової допомоги й просити вас «підтвердити» пароль або перейти за посиланням.

Якщо ви повторно використовуєте паролі в різних сервісах, будь-які облікові дані, викриті під час злому, також можуть бути випробувані в інших місцях — техніка, відома як credential stuffing. Ось чому подальші атаки можуть з’являтися через тижні після початкового вторгнення, і чому злом, про який ви ніколи не чули, все одно може призвести до підозрілого листа у вашій поштовій скриньці.

Об’єднана експлуатація не є унікальною для цього випадку. Наше висвітлення того, як UTA0565 об’єднали zero-day Chrome і Windows, демонструє ту саму стратегію: поєднання кількох слабких місць, щоб разом вони досягли того, чого не міг жоден окремо.

Що це означає для вас

Якщо ви працівник, студент або клієнт організації, яка використовує PeopleSoft, ви не можете самостійно виправити сервер. Що ви можете зробити — це зменшити шкоду, якщо ваші дані були викриті:

  • Припускайте, що повідомлення, які згадують вашого роботодавця або навчальний заклад, можуть бути сфабриковані з використанням викрадених деталей.
  • Захистіть свої акаунти так, щоб викраденого пароля самого по собі було недостатньо.
  • Будьте уважні до повідомлень від організації й запитуйте їх, якщо жодне не надійшло.

VPN тут вас не захистить. Викриття сталося на серверах організації, а не на вашому з’єднанні, тому безпека акаунтів і пильність — це ті інструменти, що мають значення.

Що робити, якщо ваш роботодавець або навчальний заклад використовує PeopleSoft

  1. Запитайте безпосередньо. Зверніться до свого відділу HR, ІТ або деканату й запитайте, чи використовують вони PeopleSoft, чи постраждали вони та чи планується повідомлення про злом.
  2. Увімкніть багатофакторну автентифікацію (MFA) на робочих, навчальних, поштових і банківських акаунтах. Застосунок-автентифікатор або апаратний ключ надійніші за SMS-коди.
  3. Змініть повторно використовувані паролі й користуйтеся менеджером паролів, щоб кожен акаунт мав унікальний пароль.
  4. Стежте за своїми акаунтами. Звертайте увагу на незвичайні входи, листи про скидання пароля, яких ви не запитували, і незнайому фінансову активність.
  5. Ставтеся до несподіваних повідомлень із підозрою. Якщо електронний лист або текстове повідомлення нібито надходить від HR, ІТ або офісу навчального закладу, не переходьте за його посиланнями. Зайдіть безпосередньо на офіційний сайт або зателефонуйте за відомим номером.
  6. Зберігайте записи про будь-яке повідомлення про злом, яке отримаєте, і дотримуйтеся його порад щодо моніторингу кредитної історії або захисту особистих даних.

Головний висновок

Атака ShinyHunters на Oracle PeopleSoft — це нагадування про те, що ваші дані захищені настільки, наскільки захищений найслабший сервер, який їх зберігає. Перехід від одного zero-day до трьох об’єднаних вразливостей показує, як зловмисники будують надійні шляхи до корпоративних систем без потреби в єдиному паролі.

Ви не можете контролювати, як ваш роботодавець або навчальний заклад виправляє своє програмне забезпечення, але ви можете увімкнути MFA, стежити за своїми акаунтами, ставити під сумнів несподівані повідомлення й вимагати письмових повідомлень про злом. Ще один приклад того, як об’єднана експлуатація zero-day працює на практиці, читайте про UTA0565 та атаки CLEANGULP.