ShinyHunters Apunta al Sector Educativo con Exploit de Oracle PeopleSoft

SOC Prime Team

Seguir

ShinyHunters Apunta al Sector Educativo con Exploit de Oracle PeopleSoft

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

El actor de amenaza UNC6240, también conocido como ShinyHunters, está llevando a cabo una campaña activa de compromiso y extorsión contra entornos de Oracle PeopleSoft. Los atacantes abusan de una vulnerabilidad de ejecución remota de código de día cero en el componente de Gestión de Entornos para obtener acceso inicial. Luego dependen de MeshCentral para comando y control y utilizan scripts personalizados para soportar el movimiento lateral y el robo de datos.

Investigación

Mandiant y Google Threat Intelligence Group descubrieron la campaña a través del análisis de directorios de staging de atacantes expuestos. Su investigación reveló servidores Python SimpleHTTP alojando agentes maliciosos de MeshCentral junto con artefactos de historial de comandos. Los investigadores siguieron la cadena de intrusión desde la explotación de CVE-2026-35273 hasta la posterior exposición de datos en el sitio de fuga de datos de ShinyHunters.

Mitigación

Las organizaciones deben deshabilitar inmediatamente el servicio de Environment Management Hub (EMHub) o eliminar por completo la aplicación PSEMHUB. Las defensas perimetrales deben bloquear el acceso externo a /PSEMHUB/* and /PSIGW/HttpListeningConnector endpoints. El endurecimiento adicional debe incluir la auditoría de sistemas de archivos de nivel web en busca de .jsp archivos no autorizados, la vigilancia en busca de nuevos directorios sospechosos y el monitoreo de tráfico SMB saliente inesperado.

Respuesta

Si se sospecha de compromiso, las organizaciones deben restringir el acceso a los endpoints vulnerables de PeopleSoft y revisar los registros de acceso de WebLogic en busca de actividad POST sospechosa. Los equipos forenses deben buscar archivos no autorizados en directorios de PSEMHUB e inspeccionar la persistencia basada en XMLDecoder. El monitoreo saliente en el puerto 445 también debe habilitarse para identificar posibles intentos de captura de hash NTLM.

graph TB %% Definiciones de clases classDef action fill:#99ccff classDef tool fill:#cccccc classDef vulnerability fill:#ff9999 classDef file fill:#ccffcc %% Fase de acceso inicial vuln_psemhub[«Vulnerabilidad CVE-2026-35273 Explotación del componente Oracle PeopleSoft Environment Management (PSEMHUB)»] class vuln_psemhub vulnerability action_initial_access[«Acción – T1210: Explotación de Servicios Remotos Descripción: Explotación de una vulnerabilidad RCE zero-day en PSEMHUB para obtener acceso inicial.»] class action_initial_access action %% Fase de Comando y Control tool_meshcentral[«Herramienta – MeshCentral Descripción: Servidor de administración remota utilizado para la preparación del C2. Tipo: Herramienta de acceso remoto»] class tool_meshcentral tool tool_acme_client[«Herramienta – acme-client (paquete npm) Descripción: Automatiza la emisión de certificados SSL para el dominio de suplantación azurenetfiles.net.»] class tool_acme_client tool file_meshagent[«Archivo – meshagent64-azure-ops.exe Descripción: Agente personalizado de MeshCentral para Windows utilizado para facilitar la administración remota.»] class file_meshagent file %% Fase de reconocimiento action_recon[«Acción – T1082: Descubrimiento de Información del Sistema Descripción: Mapeo de configuraciones Oracle PeopleSoft y auditoría de montajes de red.»] class action_recon action tool_meshctrl[«Herramienta – meshctrl.js Descripción: Utilidad de línea de comandos de MeshCentral utilizada para tareas de descubrimiento.»] class tool_meshctrl tool file_config_files[«Archivos objetivo psappsrv.cfg y WebLogic config.xml utilizados para mapear configuraciones.»] class file_config_files file %% Fase de movimiento lateral action_lateral[«Acción – T1110.003: Fuerza Bruta: Password Spraying Descripción: Ejecución de ataques de pulverización de credenciales SSH contra hosts internos.»] class action_lateral action script_fanout[«Archivo/S script – [victim_abbreviation]_fanout.sh Descripción: Script Bash personalizado para pulverización de credenciales y propagación de archivos de extorsión.»] class script_fanout file file_extort[«Archivo – README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT Descripción: Archivo marcador de desfiguración y extorsión.»] class file_extort file %% Fase de exfiltración action_exfil[«Acción – T1560: Archivado de Datos Recopilados Descripción: Compresión de datos robados antes de la exfiltración.»] class action_exfil action tool_zstd[«Herramienta – zstd Descripción: Utilidad utilizada para comprimir directorios preparados para exfiltración.»] class tool_zstd tool %% Conexiones vuln_psemhub –>|explotado_mediante| action_initial_access action_initial_access –>|establece_C2| tool_meshcentral tool_meshcentral –>|utiliza| tool_acme_client tool_meshcentral –>|despliega| file_meshagent tool_meshcentral –>|facilita| action_recon action_recon –>|utiliza| tool_meshctrl action_recon –>|inspecciona| file_config_files action_recon –>|conduce_a| action_lateral action_lateral –>|ejecuta| script_fanout script_fanout –>|propaga| file_extort script_fanout –>|conduce_a| action_exfil action_exfil –>|utiliza| tool_zstd

Flujo de Ataque

Narrativa & Comandos de Ataque: El adversario apunta a explotar la vulnerabilidad de Oracle PeopleSoft para obtener acceso no autorizado o escalar privilegios. Primero, realizan un reconocimiento enviando solicitudes POST a PSEMHUB/hub para identificar la disponibilidad del servicio. Segundo, intentan poner en escena una shell web escribiendo un .jsp archivo malicioso en el directorio de aplicación PSEMHUB.war, específicamente apuntando a la application directory, specifically targeting the ruta envmetadata/transactions/ para ocultar su actividad dentro de estructuras de metadatos de aplicación que parecen legítimas. path to hide their activity within legitimate-looking application metadata structures.

Script de Prueba de Regresión:

#!/bin/bash
# Script de Simulación para Explotación de Oracle PeopleSoft PSEMHUB

echo "[+] Iniciando Simulación..."

# 1. Disparar selection_webservice_requests (HTTP POST)
echo "[+] Paso 1: Enviando solicitudes POST maliciosas..."
curl -X POST "http://localhost/PSEMHUB/hub" -d "cmd=exploit"
curl -X POST "http://localhost/PSIGW/HttpListeningConnector" -d "cmd=exploit"

# 2. Disparar selection_fs_operations (Creación de Archivo)
echo "[+] Paso 2: Creando archivos .jsp maliciosos en directorios objetivo..."

# Asegúrate de que el directorio exista para simular (en una prueba real, este es el objetivo)
mkdir -p /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/

# Crear el archivo JSP malicioso
echo "<% out.println("Exploited"); %>" > /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/shell.jsp

# Crear otro archivo .jsp bajo el directorio war para probar la coincidencia de comodines
echo "<% out.println("Malicious"); %>" > /webserv/applications/peoplesoft/PSEMHUB.war/malicious.jsp

echo "[+] Simulación Completa. Revisa SIEM para alertas."

Comandos de Limpieza:

#!/bin/bash
# Script de Limpieza

echo "[+] Limpiando artefactos de simulación..."
rm -f /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/shell.jsp
rm -f /webserv/applications/peoplesoft/PSEMHUB.war/malicious.jsp
# Nota: En producción, no elimines directorios, solo los archivos creados para pruebas.
echo "[+] Limpieza terminada."

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis