A ShinyHunters lançou outra onda de ataques contra servidores Oracle PeopleSoft, encontrando uma forma surpreendentemente simples de contornar as organizações de defesa implantadas após o grupo começar a explorar uma vulnerabilidade crítica no início deste ano.
Google’s Mandiant and Threat Intelligence Group observaram uma renovada exploração em massa do CVE-2026-35273, uma vulnerabilidade crítica da PeopleSoft que permite aos atacantes executar código remotamente sem autenticação. O ShinyHunters, rastreado pelo Google como UNC6240, originalmente explorou a falha como um zero-day entre o final de maio e o início de junho.
A Oracle lançou uma atualização de emergência de segurança em junho. Organizações que não puderam corrigir imediatamente foram aconselhadas a bloquear o acesso externo ao componente vulnerável do PSEMHUB usando firewalls de aplicações web. O ShinyHunters agora modificou suas solicitações para burlar algumas dessas regras.
Em vez de solicitar o caminho vulnerável normal, os atacantes codificam um único caractere na URL. Alguns firewalls verificam a solicitação antes de decodificá-la e, portanto, falham em reconhecer o caminho bloqueado, enquanto a PeopleSoft depois decodifica o endereço e envia a solicitação para o componente vulnerável.
A técnica permitiu que os ShinyHunters retomassem ataques contra sistemas onde os administradores dependiam de regras de firewall em vez de instalar a atualização de segurança da Oracle. O Google observou compromissos em ensino superior, tecnologia, serviços de TI, saúde, agricultura, transporte e organizações governamentais.
Após obter acesso, os atacantes instalaram web shells que fornecem controle remoto sobre servidores comprometidos. O Google também observou ferramentas de tunelamento e o software legítimo de gerenciamento remoto MeshAgent sendo implantado para manter o acesso. Em alguns incidentes, comandos executados com privilégios root ou SYSTEM, fornecendo controle total sobre o sistema operacional afetado.
O Google afirma que notificou mais de 100 organizações ao redor do mundo sobre a atividade associada à campanha renovada.
As descobertas chegam logo após a ShinyHunters assumir a responsabilidade por atividades não autorizadas envolvendo o site de recrutamento do FBI. O grupo afirma ter acessado sistemas do FBI por meio da PeopleSoft e roubado terabytes de informações sobre funcionários e candidatos a emprego.
O FBI confirmou que está investigando atividades não autorizadas que afetam FBIjobs.gov pessoas, mas não confirmou as alegações mais amplas da ShinyHunters sobre dados roubados ou acesso a sistemas internos. O grupo também afirma que explorou uma vulnerabilidade adicional desconhecida no mesmo componente da PeopleSoft durante o incidente do FBI.