ShinyHunters Attaccano il Settore Educativo con l’Exploit di Oracle PeopleSoft

SOC Prime Team

Segui

ShinyHunters Attaccano il Settore Educativo con l’Exploit di Oracle PeopleSoft

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riassunto

L’attore della minaccia UNC6240, noto anche come ShinyHunters, sta conducendo una campagna attiva di compromissione ed estorsione contro ambienti Oracle PeopleSoft. Gli aggressori sfruttano una falla zero-day di esecuzione di codice remoto nel componente Environment Management per ottenere l’accesso iniziale. Successivamente, si affidano a MeshCentral per il comando e il controllo e utilizzano script personalizzati per supportare il movimento laterale e il furto di dati.

Investigazione

Mandiant e Google Threat Intelligence Group hanno scoperto la campagna attraverso l’analisi delle directory di staging esposte dagli aggressori. La loro investigazione ha rivelato server Python SimpleHTTP che ospitavano agenti MeshCentral maligni insieme ad artefatti di cronologia dei comandi. I ricercatori hanno seguito la catena di intrusione dall’esploit di CVE-2026-35273 fino all’esposizione successiva dei dati sul sito ShinyHunters Data Leak.

Mitigazione

Le organizzazioni dovrebbero disabilitare immediatamente il servizio Environment Management Hub (EMHub) o rimuovere completamente l’applicazione PSEMHUB. Le difese perimetrali dovrebbero bloccare l’accesso esterno a /PSEMHUB/* and /PSIGW/HttpListeningConnector endpoint. Ulteriore rafforzamento dovrebbe includere l’audit dei file system del livello web per l’individuazione di file non autorizzati .jsp osservando nuove directory sospette e monitorando il traffico SMB in uscita inatteso.

Risposta

Se si sospetta una compromissione, le organizzazioni dovrebbero limitare l’accesso agli endpoint vulnerabili di PeopleSoft e rivedere i log di accesso WebLogic per attività POST sospette. I team forensi dovrebbero cercare file non autorizzati nelle directory PSEMHUB e ispezionare per persistenza basata su XMLDecoder. Il monitoraggio in uscita sulla porta 445 dovrebbe essere abilitato per identificare tentativi di cattura hash NTLM.

graph TB %% Definizione delle classi classDef action fill:#99ccff classDef tool fill:#cccccc classDef vulnerability fill:#ff9999 classDef file fill:#ccffcc %% Fase di Accesso Iniziale vuln_psemhub[“Vulnerabilità CVE-2026-35273 Sfruttamento del componente Oracle PeopleSoft Environment Management (PSEMHUB)”] class vuln_psemhub vulnerability action_initial_access[“Azione – T1210: Sfruttamento dei Servizi Remoti Descrizione: Sfruttamento di una vulnerabilità RCE zero-day in PSEMHUB per ottenere l’accesso iniziale.”] class action_initial_access action %% Fase Command and Control tool_meshcentral[“Strumento – MeshCentral Descrizione: Server di gestione remota utilizzato per la preparazione dell’infrastruttura C2. Tipo: Strumento di Accesso Remoto”] class tool_meshcentral tool tool_acme_client[“Strumento – acme-client (pacchetto npm) Descrizione: Automatizza il rilascio dei certificati SSL per il dominio contraffatto azurenetfiles.net.”] class tool_acme_client tool file_meshagent[“File – meshagent64-azure-ops.exe Descrizione: Agente Windows MeshCentral personalizzato utilizzato per facilitare la gestione remota.”] class file_meshagent file %% Fase di Ricognizione action_recon[“Azione – T1082: Individuazione delle Informazioni di Sistema Descrizione: Mappatura delle configurazioni Oracle PeopleSoft e analisi dei punti di montaggio di rete.”] class action_recon action tool_meshctrl[“Strumento – meshctrl.js Descrizione: Utility da riga di comando MeshCentral utilizzata per attività di discovery.”] class tool_meshctrl tool file_config_files[“File Target psappsrv.cfg e WebLogic config.xml utilizzati per la mappatura delle configurazioni.”] class file_config_files file %% Fase di Movimento Laterale action_lateral[“Azione – T1110.003: Forza Bruta: Password Spraying Descrizione: Esecuzione di campagne di spray delle credenziali SSH contro host interni.”] class action_lateral action script_fanout[“File/Script – [victim_abbreviation]_fanout.sh Descrizione: Script Bash personalizzato per spray delle credenziali e propagazione di file estorsivi.”] class script_fanout file file_extort[“File – README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT Descrizione: File indicatore di compromissione, deturpazione ed estorsione.”] class file_extort file %% Fase di Esfiltrazione action_exfil[“Azione – T1560: Archiviazione dei Dati Raccolti Descrizione: Compressione dei dati sottratti prima dell’esfiltrazione.”] class action_exfil action tool_zstd[“Strumento – zstd Descrizione: Utility utilizzata per comprimere le directory preparate per l’esfiltrazione.”] class tool_zstd tool %% Connessioni vuln_psemhub –>|sfruttata_da| action_initial_access action_initial_access –>|stabilisce_C2| tool_meshcentral tool_meshcentral –>|utilizza| tool_acme_client tool_meshcentral –>|distribuisce| file_meshagent tool_meshcentral –>|abilita| action_recon action_recon –>|utilizza| tool_meshctrl action_recon –>|analizza| file_config_files action_recon –>|porta_a| action_lateral action_lateral –>|esegue| script_fanout script_fanout –>|propaga| file_extort script_fanout –>|porta_a| action_exfil action_exfil –>|utilizza| tool_zstd

Flusso di Attacco

Narrazione e Comandi dell’Attacco: L’avversario mira a sfruttare la vulnerabilità di Oracle PeopleSoft per ottenere accesso non autorizzato o aumentare i privilegi. Prima di tutto, eseguono una ricognizione inviando richieste POST a PSEMHUB/hub per identificare la disponibilità del servizio. In secondo luogo, tentano di installare una web shell scrivendo un .jsp file malevolo nella directory dell'applicazione PSEMHUB.war, mirato specificamente al percorso envmetadata/transactions/ envmetadata/transactions/ per nascondere la loro attività all’interno di strutture di metadati di applicazioni legittimamente appaiono.

Script di Test di Regressione:

#!/bin/bash
# Simulation Script for Oracle PeopleSoft PSEMHUB Exploitation

echo "[+] Avvio Simulazione..."

# 1. Attivare selection_webservice_requests (HTTP POST)
echo "[+] Fase 1: Invio di richieste POST malevole..."
curl -X POST "http://localhost/PSEMHUB/hub" -d "cmd=exploit"
curl -X POST "http://localhost/PSIGW/HttpListeningConnector" -d "cmd=exploit"

# 2. Attivare selection_fs_operations (Creazione File)
echo "[+] Fase 2: Creazione di file .jsp malevoli nelle directory di destinazione..."

# Assicurarsi che la directory esista per la simulazione (in un test reale, questo è l'obiettivo)
mkdir -p /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/

# Creare il file JSP malevolo
echo "<% out.println("Compromesso"); %>" > /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/shell.jsp

# Creare un altro file .jsp sotto la directory war per testare la corrispondenza del carattere jolly
echo "<% out.println("Malevolo"); %>" > /webserv/applications/peoplesoft/PSEMHUB.war/malicious.jsp

echo "[+] Simulazione Completa. Controllare SIEM per avvisi."

Comandi di Pulizia:

#!/bin/bash
# Cleanup Script

echo "[+] Pulizia degli artefatti di simulazione..."
rm -f /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/shell.jsp
rm -f /webserv/applications/peoplesoft/PSEMHUB.war/malicious.jsp
# Nota: In produzione, non eliminare le directory, solo i file creati per il test.
echo "[+] Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis