Zero-Day in Oracle People Soft Drives ShinyHunters Kampagne: direkte Netzwerkausbeutung und Datenfiltration in der Hochschulbildung

Die Erpressungskampagne im Zusammenhang mit dem Kollektiv namens ShinyHunters - das Mandiant als UNC6240 verfolgt - hat eine kritische Sicherheitslücke in Oracle PeopleSoft nicht genutzt, um Server zu kompromittieren, große Mengen von Daten und druckbeeinflussten Organisationen zu extrahieren, um für Stille zu zahlen. Zwischen dem 27. Mai und dem 9. Juni explodierten die Angreifer in PeopleTools, die keine Authentisierung oder Benutzerinteraktion erfordern, einen Fernausführungsfehler. Gefahr der direkten Ausbeutung aus dem Netz und damit unmittelbares Risiko für Einrichtungen mit Internet zugänglichem Umweltmanagement.

Das als CVE-2026-35273, mit einer Punktzahl 9.8 / 10, ist in der Aktualisierungen Umweltmanagement-Komponente hinter der PSEMHUB (Umweltmanagement Hub). Oracle stellte fest, dass die Versionen PeopleTools 8.61 und 8.62 betroffen sind und dass alte Versionen, auch wenn sie nicht mehr unterstützt werden, wahrscheinlich auch betroffen sind. Das Auftreten aktiver Aktivitäten vor der Veröffentlichung der offiziellen Mitteilung bestätigt, dass es sich um eine 0-Tag während des Betriebsfensters und dass das Antwortfenster kritisch war, um Lecks zu vermeiden.

Neben der technischen Ausbeutung zeigte die öffentliche Forschung nützliche Taktiken und Artefakte zur Erkennung und Reaktion: offene Server links fügen Dateien frei, eine gemeinsame Befehlshistorie, Remote-Management-Agenten Typ MeshCentral getarnt als Microsoft Binaries und ein SSH-Spread-Skript, das interne Anmeldeinformationen sprüht und eine Markerdatei hinterlässt, genannt LEADME-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT in Verzeichnissen von PeopleSoft. Die mit einer Domäne kommunizierten Agenten, die einem legitimen Cloud-Service ähneln, was die Verwendung von Vertrauenslockern durch den Angreifer hervorhebt.

Das bisher am stärksten betroffene Opfer scheint der Hochschulsektor zu sein: Mandiant hat mehr als 100 Organisationen mit verletzlichen Endpunkten gemeldet und geschätzt, dass die 68% der Partneradressen waren Hochschulbildung Viele in Amerika. Die Universität von Nottingham bestätigte einen Vorfall, der zur Veröffentlichung sensibler Daten geführt hat - einschließlich Pässe und Details zu Ethnizität und Behinderungen - und öffentliche Verifizierungsdienste wie Habe ich gesungen? Sie zählen bereits Hunderttausende von E-Mails in den gefilterten Sammlungen.

Die unmittelbaren Maßnahmen müssen funktionsfähig und pragmatisch sein: wenn ihre Bereitstellung Multiserver ist, den Service des Umweltmanagement Hubs deaktivieren; wenn es Single-Server ist, entfernen Sie die PSEMHUB-Anwendung. Wenn das nicht möglich ist, blockieren Sie den externen Zugriff auf / PSEMHUB / *(besondere Aufmerksamkeit auf / PSEMHUB / Hub) und / PSIGW / HttpListeningConnector auf dem Umfang. Oracle veröffentlicht seine Anzeigen und Patches durch sein Sicherheitsportal; sehen Sie den offiziellen Führer bei Oracle Security Alerts und planen, das Patch anzuwenden, sobald es in My Oracle Support verfügbar ist.

Netzeindämmung allein reicht nicht aus: Mandiant warnt, dass Körperkontrollregeln in WAF vermieden werden können, so dass es notwendig ist, den Perimeterblock mit internen Kontrollen zu kombinieren. Suchen Sie nach detaillierten Anmeldezeichen in Datensätzen und Dateisystem: POST-Anfragen außerhalb der angegebenen Routen, .jsp unerwartet unter PSEMHUB.war, verdächtige Ordner genannt Protokoll, Beharrlichkeit oder Kratzpad, aktuelle Änderungen in envmethadata / Daten / Umwelt / * .xml die Persistenz über XMLDecoder, ausgehenden SMB-Verkehr zu externen Zielen (mögliche Sammlung von NetNTLM hashes) und Anwesenheit der Markerdatei, die von den Angreifern hinterlassen wird.

Auf der Ebene der Reaktion und Vermittlung isolieren kompromittierte Server und bewahren Beweise vor der Reinigung; drehen Sie alle lokalen und Service-Berechtigungen, wenden Sie Multifaktor-Authentifizierung, wo möglich, beschränken und überwachen internen SSH-Zugang (vermeiden Sie gemeinsame Passwörter und hardcoded Anmeldeinformationen), und effektiv gefilterte Ausgabe, um bekannte Befehls- und Steuerdomänen und Ziele zu blockieren. Verwenden Sie die Dateiintegritätserkennung und EDR-Tools, um Aktivität von ungewöhnlichen Prozessen und Verbindungen zu erfassen, und betrachten Sie eine proaktive Such- und Vermittlungsübung in Umgebungen, die keine sichtbaren Zeichen zeigen, sondern dieselbe Netzwerkexposition teilen.

Die regulatorischen und reputalen Risikobeeinträchtigungen sind wichtig: Lecks mit sensiblen personenbezogenen Daten (Passagiere, Informationen über Behinderungen oder ethnische Zugehörigkeit) können Berichtspflichten nach DSGVO, Gesetze zur Meldung von Lücken in den USA aktivieren. EU- oder sektorale Vorschriften. Benachrichtigen Sie die zuständigen Behörden, konsultieren Sie mit der rechtlichen Beratung über die Meldepflichten für Opfer und bereiten Sie die Unterstützungsprozeduren für Opfer vor (Frauenüberwachung, Einfrieren von Konten usw.).

In strategischer Perspektive zeigt dieser Vorfall zwei konvergente Trends: Zum einen erweitern Akteure wie ShinyHunters ihr Repertoire auf Schwachstellen in ERP On-Premises, die oft sehr sensible Daten enthalten; zum anderen sind Organisationen mit Altsoftware und langen Parkzyklen einfache Ziele, wenn sie Management-Ports freilassen. Die Lektion für Administratoren und CISUS ist klar: die öffentliche Exposition von administrativen Schnittstellen zu reduzieren, Patch-Prozesse zu beschleunigen und interne Kontrollen zu verschärfen, ist jetzt ebenso kritisch wie der Schutz von SaaS und Cloud-Umgebungen.

Um die technischen Veröffentlichungen der Forschungsbeamten auf dem Laufenden zu halten, siehe die Quellen von Outreach wie die Zero Day Initiative of Trend (die an diesem Bericht teilgenommen hat). ZDI und die offiziellen Ausschreibungen des Lieferanten. Wenn Ihre Organisation PeopleSoft betreibt, behandeln Sie diese Schwachstelle als Priorität, kombinieren Sie die Netzwerkmilderung mit aktivem Absinken und bereiten Sie Ihren Vorfall Reaktionsplan vor der Anwendung von Produktionsänderungen.