Atak na Oracle PeopleSoft: ShinyHunters wykrada dane z setek instytucji

Grupa ShinyHunters, znana z głośnych ataków na duże organizacje, przeprowadziła szeroko zakrojoną kampanię wymierzoną w serwery Oracle PeopleSoft. Według doniesień BleepingComputer oraz SecurityWeek, przestępcy twierdzą, że wykradli dane z ponad 100 instytucji, w tym z University of Nottingham. Atak ten pokazuje, jak podatne na włamania mogą być systemy klasy ERP (Enterprise Resource Planning), które zarządzają kluczowymi danymi osobowymi i finansowymi.

Co się stało? Szczegóły ataku na Oracle PeopleSoft

Oracle PeopleSoft to pakiet oprogramowania biznesowego używany przez duże organizacje do zarządzania kadrami, płacami, finansami, łańcuchem dostaw i administracją studencką. Jak donosi BleepingComputer, ataki dotknęły zarówno instancje chmurowe, jak i lokalne (on-premises). ShinyHunters potwierdzili, że wykorzystują kombinację starych i nowych (zero-day) podatności, określaną jako „łańcuch gadżetów”. Skuteczność ataku zależy jednak od konfiguracji konkretnego systemu – nie wszystkie instancje są podatne.

Badacz bezpieczeństwa „Michael R” odkrył publicznie dostępne katalogi zawierające narzędzia powiązane z tym atakiem. Wśród nich znalazły się agenty MeshCentral oraz skrypty do zmiany treści stron i prób logowania na konta administracyjne. Ujawniono również adresy IP wykorzystywane przez atakujących, które organizacje powinny przeanalizować w swoich logach.

Kogo dotknął atak? Przykład University of Nottingham

Jedną z potwierdzonych ofiar jest University of Nottingham. Jak opisuje SecurityWeek, uczelnia potwierdziła naruszenie bezpieczeństwa po opublikowaniu przez ShinyHunters plików wykradzionych z jej systemów. Analiza przeprowadzona przez serwis Have I Been Pwned wykazała, że wyciek obejmuje około 455 000 unikalnych adresów e-mail, a także nazwiska, adresy, numery telefonów, numery paszportów, dane o płci, pochodzeniu etnicznym, niepełnosprawności, rekrutacji, obywatelstwie i opłatach.

University of Nottingham w oficjalnym oświadczeniu przyznał, że hakerzy uzyskali dostęp do „znacznej ilości danych” w systemie rejestracji studentów. Naruszenie dotyczy obecnych i byłych studentów. Uczelnia współpracuje z Action Fraud, brytyjskim urzędem ochrony danych (ICO) i innymi organami regulacyjnymi. ShinyHunters twierdzą, że większość zaatakowanych organizacji pochodzi z sektora edukacji, a wiele z nich było już wcześniej celem tej grupy.

Jak działają przestępcy? Techniki i narzędzia

ShinyHunters nie tylko kradną dane, ale także wywierają presję na ofiary. Po włamaniu na wewnętrzny serwer PeopleSoft umieszczają plik z żądaniem okupu o nazwie „README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT”. Skrypt analizuje plik /etc/hosts w poszukiwaniu systemów PeopleSoft i próbuje połączyć się z nimi przez SSH, używając typowych kont administracyjnych, takich jak „psoft”, „oracle” i „linuxadm”. Jeśli logowanie hasłem zawiedzie, skrypt próbuje uwierzytelnienia za pomocą klucza SSH.

Należy podkreślić, że Oracle nie opublikowało jeszcze publicznego komunikatu na temat tych ataków. Oznacza to, że organizacje muszą polegać na własnych zespołach bezpieczeństwa i dostępnych wskaźnikach kompromitacji (IOC).

Co robić? Praktyczne kroki dla administratorów

Jeśli Twoja organizacja korzysta z Oracle PeopleSoft, należy niezwłocznie przeanalizować logi pod kątem połączeń z adresów IP wymienionych w raporcie BleepingComputer. W przypadku wykrycia podejrzanej aktywności, zaleca się natychmiastowe uruchomienie procedury reagowania na incydenty, zbadanie, czy instancja PeopleSoft została naruszona, oraz rozważenie tymczasowego odłączenia serwerów od internetu do czasu zabezpieczenia środowiska.

Do podstawowych środków zapobiegawczych należą: regularne aktualizacje oprogramowania, stosowanie silnych, unikalnych haseł dla kont administracyjnych, wdrożenie uwierzytelniania wieloskładnikowego (MFA) oraz ograniczenie dostępu do systemów PeopleSoft tylko do zaufanych sieci. Należy również monitorować pojawianie się nowych podatności i szybko aplikować łatki.

Atak na Oracle PeopleSoft to kolejne przypomnienie, że systemy ERP, przechowujące ogromne ilości wrażliwych danych, są atrakcyjnym celem dla cyberprzestępców. W przypadku braku oficjalnych informacji od producenta, kluczowe staje się proaktywne zarządzanie bezpieczeństwem i gotowość na szybką reakcję.