ShinyHunters ha lanciato un’altra ondata di attacchi contro i server Oracle PeopleSoft, trovando un modo sorprendentemente semplice per aggirare le organizzazioni di difesa schierate dopo che il gruppo aveva iniziato a sfruttare una vulnerabilità critica all’inizio di quest’anno.
Google’s Mandiant and Threat Intelligence Group hanno osservato un rinnovato sfruttamento di massa di CVE-2026-35273, una vulnerabilità critica di PeopleSoft che permette agli attaccanti di eseguire codice da remoto senza autenticazione. ShinyHunters, tracciato da Google come UNC6240, inizialmente sfruttava la falla come zero-day tra fine maggio e inizio giugno.
Oracle ha rilasciato un aggiornamento di sicurezza d’emergenza a giugno. Le organizzazioni non riuscite a fare una patch immediata sono state consigliate di bloccare l’accesso esterno al componente vulnerabile PSEMHUB utilizzando firewall per applicazioni web. ShinyHunters ha ora modificato le sue richieste per aggirare alcune di queste regole.
Invece di richiedere il percorso vulnerabile normale, gli attaccanti codificano un singolo carattere nell’URL. Alcuni firewall controllano la richiesta prima di decodificarla e quindi non riconoscono il percorso bloccato, mentre PeopleSoft decodifica successivamente l’indirizzo e invia la richiesta al componente vulnerabile.
La tecnica ha permesso a ShinyHunters di riprendere attacchi contro sistemi in cui gli amministratori si affidavano alle regole del firewall invece che all’installazione dell’aggiornamento di sicurezza di Oracle. Google ha osservato compromissioni nell’istruzione superiore, nella tecnologia, nei servizi IT, nella sanità, nell’agricoltura, nei trasporti e nelle organizzazioni governative.
Dopo aver ottenuto l’accesso, gli attaccanti hanno installato web shell che forniscono il controllo remoto su server compromessi. Google ha anche osservato strumenti di tunneling e il legittimo software di gestione remota MeshAgent in implementazione per mantenere l’accesso. In alcuni casi, i comandi venivano eseguiti con privilegi root o SYSTEM, fornendo il controllo completo sul sistema operativo interessato.
Google afferma di aver informato più di 100 organizzazioni in tutto il mondo riguardo all’attività associata alla campagna rinnovata.
I risultati arrivano poco dopo che ShinyHunters ha rivendicato la responsabilità di attività non autorizzate che coinvolgevano il sito di reclutamento dell’FBI. Il gruppo afferma di aver avuto accesso ai sistemi FBI tramite PeopleSoft e di aver rubato terabyte di informazioni riguardanti dipendenti e candidati al lavoro.
L’FBI ha confermato di indagare su attività non autorizzate che FBIjobs.gov riguardano ma non ha confermato le affermazioni più ampie di ShinyHunters riguardo al furto di dati o all’accesso ai sistemi interni. Il gruppo sostiene inoltre di aver sfruttato un’ulteriore vulnerabilità sconosciuta nello stesso componente PeopleSoft durante l’incidente dell’FBI.