Cuộc tấn công Oracle PeopleSoft của ShinyHunters có một chi tiết mới: điều ban đầu được mô tả là một zero-day duy nhất hóa ra lại là ba lỗ hổng được chuỗi lại. Theo báo cáo, ShinyHunters đã kết hợp các lỗ hổng để chiếm quyền máy chủ mà không cần đăng nhập, và các cuộc tấn công đã trải rộng nhiều lĩnh vực.
Điều đó có ý nghĩa vượt xa các nhóm IT. PeopleSoft là phần mềm doanh nghiệp, vì vậy những người bị ảnh hưởng nhiều nhất có thể chưa từng trực tiếp chạm vào một hệ thống dễ bị tổn thương. Bài viết này giải thích những gì đã được báo cáo, ai có thể bị phơi nhiễm, và những bước thực tế bạn có thể thực hiện.
Chuyện gì đã xảy ra: Ba lỗ hổng PeopleSoft được chuỗi lại
Phát hiện cốt lõi là ShinyHunters đã khai thác ba lỗ hổng Oracle PeopleSoft được chuỗi lại, cho phép chiếm quyền máy chủ mà không cần xác thực. "Không cần xác thực" có nghĩa là kẻ tấn công không cần tên đăng nhập hay mật khẩu để bắt đầu. "Chuỗi lại" có nghĩa là mỗi lỗ hổng riêng lẻ có thể không mang lại toàn quyền kiểm soát, nhưng khi sử dụng theo trình tự, chúng sẽ làm được điều đó.
Đây là một mô thức phổ biến trong các vụ xâm nhập nghiêm trọng. Một lỗi có thể cho phép kẻ tấn công tiếp cận điều gì đó mà lẽ ra chúng không được phép, một lỗi khác có thể nâng cao đặc quyền của chúng, và lỗi thứ ba có thể cho phép chúng chạy lệnh trên máy chủ. Những mô tả ban đầu về sự cố đã mô tả nó như một zero-day, nhưng bản chất chuỗi lại cho thấy cuộc tấn công có chủ đích và phức tạp hơn những gì được báo cáo đầu tiên.
Bài viết nguồn cho biết các cuộc tấn công trải rộng nhiều lĩnh vực. Chúng tôi không có thêm chi tiết nào ngoài điều đó trong tài liệu được cung cấp, vì vậy sẽ là sai lầm nếu đoán về các nạn nhân cụ thể, số lượng bản ghi, hay mốc thời gian ở đây. Các tổ chức đang vận hành PeopleSoft nên dựa vào hướng dẫn của chính Oracle và đội ngũ bảo mật của họ để biết chi tiết cụ thể.
Ai có nguy cơ sau một vụ vi phạm PeopleSoft
PeopleSoft thường được sử dụng để vận hành các chức năng hậu cần bên trong các tổ chức lớn. Khi một máy chủ chạy nó bị chiếm quyền, phơi nhiễm thường mở rộng đến những người mà hệ thống lưu giữ hồ sơ của họ, chứ không chỉ tổ chức đó.
Điều đó có thể bao gồm:
- Nhân viên, những người có thông tin nhân sự hoặc lương bổng có thể được lưu trữ trong các hệ thống kết nối.
- Sinh viên và ứng viên, nếu trường của họ sử dụng PeopleSoft cho hồ sơ hoặc tuyển sinh.
- Khách hàng, nếu một tổ chức lưu giữ thông tin chi tiết của họ trong một hệ thống được hỗ trợ bởi PeopleSoft.
Điểm mấu chốt là bạn không cần phải làm gì sai. Nếu người sử dụng lao động, trường học của bạn, hoặc một công ty mà bạn làm ăn cùng vận hành một máy chủ dễ bị tổn thương, dữ liệu của bạn có thể gặp rủi ro ngay cả khi bạn chưa bao giờ đăng nhập vào nó. Liệu thông tin của bạn có thực sự bị truy cập hay không phụ thuộc vào tổ chức, đó là lý do vì sao việc yêu cầu thông báo rõ ràng là quan trọng.
Cách dữ liệu bị đánh cắp thúc đẩy lừa đảo và chiếm đoạt tài khoản
Bản thân việc chiếm quyền máy chủ chỉ là bước đầu tiên. Điều xảy ra với dữ liệu bị đánh cắp sau đó thường là thứ gây tổn hại nhất cho cá nhân.
Tên, địa chỉ email, chức danh công việc, và các chi tiết nội bộ khiến các tin nhắn lừa đảo trở nên thuyết phục hơn nhiều. Một tin nhắn đề cập đến người sử dụng lao động, phòng ban, hoặc trường học thực của bạn trông hợp pháp theo cách mà một trò lừa đảo chung chung không có được. Kẻ tấn công có thể giả danh bộ phận nhân sự, hỗ trợ IT, hoặc văn phòng hỗ trợ tài chính và yêu cầu bạn "xác minh" mật khẩu hoặc nhấp vào một liên kết.
Nếu bạn dùng lại mật khẩu trên nhiều dịch vụ, bất kỳ thông tin đăng nhập nào bị lộ trong một vụ vi phạm cũng có thể được thử ở nơi khác, một kỹ thuật được gọi là nhồi nhét thông tin đăng nhập. Đây là lý do vì sao các cuộc tấn công tiếp theo có thể xuất hiện nhiều tuần sau vụ xâm nhập ban đầu, và vì sao một vụ vi phạm mà bạn chưa từng nghe đến vẫn có thể dẫn đến một email đáng ngờ trong hộp thư của bạn.
Khai thác chuỗi không phải là duy nhất trong trường hợp này. Bài viết của chúng tôi về cách UTA0565 chuỗi zero-day Chrome và Windows cho thấy cùng một chiến lược: liên kết nhiều điểm yếu để cùng nhau chúng đạt được điều mà không điểm nào làm được một mình.
Điều này có nghĩa gì với bạn
Nếu bạn là nhân viên, sinh viên, hoặc khách hàng của một tổ chức sử dụng PeopleSoft, bạn không thể tự vá máy chủ. Điều bạn có thể làm là giảm thiểu thiệt hại nếu dữ liệu của bạn bị phơi nhiễm:
- Giả định rằng các tin nhắn đề cập đến người sử dụng lao động hoặc trường học của bạn có thể được tạo ra từ các chi tiết bị rò rỉ.
- Bảo vệ tài khoản của bạn để chỉ một mật khẩu bị đánh cắp là không đủ.
- Luôn cảnh giác với các thông báo từ tổ chức, và yêu cầu chúng nếu không có thông báo nào đến.
VPN không bảo vệ bạn ở đây. Phơi nhiễm xảy ra trên máy chủ của tổ chức, không phải trên kết nối của bạn, vì vậy bảo mật tài khoản và sự cảnh giác là những công cụ quan trọng.
Phải làm gì nếu người sử dụng lao động hoặc trường học của bạn sử dụng PeopleSoft
- Hỏi trực tiếp. Liên hệ với bộ phận nhân sự, IT, hoặc văn phòng đăng ký của bạn và hỏi liệu họ có vận hành PeopleSoft không, liệu họ có bị ảnh hưởng không, và liệu có kế hoạch thông báo vi phạm không.
- Bật xác thực đa yếu tố (MFA) trên các tài khoản công việc, trường học, email, và ngân hàng. Ứng dụng xác thực hoặc khóa phần cứng mạnh hơn mã SMS.
- Thay đổi mật khẩu bị dùng lại và sử dụng trình quản lý mật khẩu để mỗi tài khoản có một mật khẩu duy nhất.
- Theo dõi tài khoản của bạn. Chú ý đến các lần đăng nhập bất thường, email đặt lại mật khẩu mà bạn không yêu cầu, và hoạt động tài chính không quen thuộc.
- Đối xử với các tin nhắn bất ngờ một cách đáng ngờ. Nếu một email hoặc tin nhắn văn bản tự nhận là từ bộ phận nhân sự, IT, hoặc văn phòng trường học, đừng nhấp vào liên kết của nó. Truy cập trực tiếp trang web chính thức hoặc gọi một số điện thoại đã biết.
- Lưu giữ hồ sơ về bất kỳ thông báo vi phạm nào bạn nhận được, và làm theo lời khuyên của nó về giám sát tín dụng hoặc bảo vệ danh tính.
Điểm mấu chốt
Cuộc tấn công Oracle PeopleSoft của ShinyHunters là một lời nhắc nhở rằng dữ liệu của bạn chỉ an toàn bằng máy chủ yếu nhất đang lưu giữ nó. Sự chuyển dịch từ một zero-day sang ba lỗ hổng được chuỗi lại cho thấy cách kẻ tấn công xây dựng những con đường đáng tin cậy vào các hệ thống doanh nghiệp mà không cần một mật khẩu nào.
Bạn không thể kiểm soát cách người sử dụng lao động hoặc trường học của bạn vá phần mềm của họ, nhưng bạn có thể bật MFA, theo dõi tài khoản của bạn, đặt câu hỏi với các tin nhắn bất ngờ, và yêu cầu thông báo vi phạm bằng văn bản. Để xem một ví dụ khác về cách khai thác zero-day theo chuỗi hoạt động trong thực tế, hãy đọc về UTA0565 và các cuộc tấn công CLEANGULP.
