ShinyHunters націлилися на сектор освіти, використовуючи експлойт Oracle PeopleSoft

SOC Prime Team

Стежити

ShinyHunters націлилися на сектор освіти, використовуючи експлойт Oracle PeopleSoft

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

Зловмисник UNC6240, також відомий як ShinyHunters, веде активну кампанію з компрометації та вимагання проти середовищ Oracle PeopleSoft. Атака використовує вразливість нульового дня для віддаленого виконання коду в компоненті Environment Management для початкового доступу. Потім вони покладаються на MeshCentral для командування та управління і використовують спеціальні скрипти для підтримки латерального переміщення та крадіжки даних.

Розслідування

Mandiant та Google Threat Intelligence Group виявили кампанію через аналіз відкритих каталогів, що використовувались зловмисником. Їх розслідування виявило Python SimpleHTTP сервери, що забезпечують розміщення зловмисних агентів MeshCentral разом з артефактами історії команд. Дослідники відстежили ланцюг вторгнення від експлуатації CVE-2026-35273 до подальшого витоку даних на сайті ShinyHunters Data Leak.

Зменшення ризиків

Організації повинні негайно вимкнути службу Environment Management Hub (EMHub) або повністю видалити застосунок PSEMHUB. Оборона периметра повинна блокувати зовнішній доступ до /PSEMHUB/* and /PSIGW/HttpListeningConnector кінцевих точок. Додаткове зміцнення слід здійснювати через аудит файлів веб-рівня для виявлення несанкціонованих .jsp файлів, спостереження за підозрілими новими каталогами, і моніторинг несподіваного вихідного трафіку SMB.

Реакція

Якщо є підозра на компрометацію, організації повинні обмежити доступ до вразливих точок PeopleSoft і переглянути журнали доступу WebLogic на підозрілу POST-активність. Судмедекспертні команди повинні перевірити каталоги PSEMHUB на наявність несанкціонованих файлів і перевірити на стійкість на основі XMLDecoder. Також слід включити вихідний моніторинг на порт 445 для виявлення можливих спроб захоплення хешу NTLM.

graph TB %% Визначення класів classDef action fill:#99ccff classDef tool fill:#cccccc classDef vulnerability fill:#ff9999 classDef file fill:#ccffcc %% Етап початкового доступу vuln_psemhub[“Вразливість CVE-2026-35273 Експлуатація компонента Oracle PeopleSoft Environment Management (PSEMHUB)”] class vuln_psemhub vulnerability action_initial_access[“Дія – T1210: Експлуатація віддалених служб Опис: Використання zero-day RCE вразливості у PSEMHUB для отримання початкового доступу.”] class action_initial_access action %% Етап командування та керування tool_meshcentral[“Інструмент – MeshCentral Опис: Сервер віддаленого керування, який використовується для розгортання C2. Тип: Інструмент віддаленого доступу”] class tool_meshcentral tool tool_acme_client[“Інструмент – acme-client (npm пакет) Опис: Автоматизує створення SSL-сертифікатів для маскувального домену azurenetfiles.net.”] class tool_acme_client tool file_meshagent[“Файл – meshagent64-azure-ops.exe Опис: Модифікований Windows-агент MeshCentral, який забезпечує віддалене керування.”] class file_meshagent file %% Етап розвідки action_recon[“Дія – T1082: Виявлення системної інформації Опис: Аналіз конфігурацій Oracle PeopleSoft та перевірка мережевих підключень.”] class action_recon action tool_meshctrl[“Інструмент – meshctrl.js Опис: Командний інструмент MeshCentral, який використовується для розвідки.”] class tool_meshctrl tool file_config_files[“Цільові файли psappsrv.cfg та WebLogic config.xml використовуються для аналізу конфігурацій.”] class file_config_files file %% Етап латерального переміщення action_lateral[“Дія – T1110.003: Brute Force: Password Spraying Опис: Виконання розпилення SSH-облікових даних проти внутрішніх хостів.”] class action_lateral action script_fanout[“Файл/Скрипт – [victim_abbreviation]_fanout.sh Опис: Спеціальний Bash-скрипт для розпилення облікових даних та поширення файлів вимагання.”] class script_fanout file file_extort[“Файл – README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT Опис: Файл-маркер компрометації, дефейсу та вимагання.”] class file_extort file %% Етап ексфільтрації action_exfil[“Дія – T1560: Архівування зібраних даних Опис: Стиснення викрадених даних перед ексфільтрацією.”] class action_exfil action tool_zstd[“Інструмент – zstd Опис: Утиліта для стиснення каталогів, підготовлених до ексфільтрації.”] class tool_zstd tool %% Зв’язки vuln_psemhub –>|експлуатується_через| action_initial_access action_initial_access –>|створює_C2| tool_meshcentral tool_meshcentral –>|використовує| tool_acme_client tool_meshcentral –>|розгортає| file_meshagent tool_meshcentral –>|забезпечує| action_recon action_recon –>|використовує| tool_meshctrl action_recon –>|аналізує| file_config_files action_recon –>|призводить_до| action_lateral action_lateral –>|виконує| script_fanout script_fanout –>|поширює| file_extort script_fanout –>|призводить_до| action_exfil action_exfil –>|використовує| tool_zstd

Потік атаки

Розповідь атаки й команди: Супротивник має на меті використати вразливість Oracle PeopleSoft для отримання несанкціонованого доступу або підвищення привілеїв. Спершу вони проводять розвідку, надсилаючи POST-запити до PSEMHUB/hub для виявлення доступності сервісу. По-друге, вони намагаються завантажити веб-шелл, записуючи зловмисний .jsp файл у директорію PSEMHUB.war , спеціально націлюючись на шлях envmetadata/transactions/ для приховування своєї активності в межах легітимно виглядаючих структур метаданих додатків.

Сценарій регресійного тестування:

#!/bin/bash
# Сценарій симуляції для експлуатації Oracle PeopleSoft PSEMHUB

echo "[+] Запуск симуляції..."

# 1. Тригер вибірки запитів веб-сервісу (HTTP POST)
echo "[+] Крок 1: Відправка зловмисних POST-запитів..."
curl -X POST "http://localhost/PSEMHUB/hub" -d "cmd=exploit"
curl -X POST "http://localhost/PSIGW/HttpListeningConnector" -d "cmd=exploit"

# 2. Тригер вибірки операцій файлової системи (Створення файлів)
echo "[+] Крок 2: Створення зловмисних файлів .jsp в цільових директоріях..."

# Переконайтеся, що директорія існує для симуляції (в реальному тесті це ціль)
mkdir -p /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/

# Створіть зловмисний JSP файл
echo "<% out.println("Exploited"); %>" > /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/shell.jsp

# Створіть інший .jsp файл у директорії war для тестування узгодження шаблону
echo "<% out.println("Malicious"); %>" > /webserv/applications/peoplesoft/PSEMHUB.war/malicious.jsp

echo "[+] Симуляція завершена. Перевірте SIEM для отримання попереджень."

Команди очистки:

#!/bin/bash
# Команди очистки

echo "[+] Очищення артефактів симуляції..."
rm -f /webserv/applications/peoplesoft/PSEMHUB.war/envmetadata/transactions/shell.jsp
rm -f /webserv/applications/peoplesoft/PSEMHUB.war/malicious.jsp
# Зверніть увагу: у виробництві не видаляйте директорії, лише файли, створені для тестування.
echo "[+] Очищення завершено."

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Приєднатися безкоштовно