ShinyHunters, Oracle PeopleSoft sunucularına karşı yeni bir saldırı dalgası başlattı ve bu yılın başlarında kritik bir güvenlik açığını kullanmaya başladıktan sonra kurulan savunma kuruluşlarının şaşırtıcı derecede basit bir yolunu buldu.
Google’s Mandiant and Threat Intelligence Group saldırganların kimlik doğrulama olmadan uzaktan kod çalıştırmasına olanak tanıyan kritik bir PeopleSoft açığı olan CVE-2026-35273’ün yeniden kitlesel sömürülmesini gözlemledik. Google tarafından UNC6240 olarak takip edilen ShinyHunters, bu kusuru başlangıçta Mayıs sonu ile Haziran başı arasında sıfır gün olarak kullanmıştı.
Oracle Haziran ayında acil bir güvenlik güncellemesi yayınladı. Hemen yamalama yapamayan kuruluşlara, web uygulama güvenlik duvarları kullanarak savunmasız PSEMHUB bileşenine harici erişimi engellemeleri tavsiye edildi. ShinyHunters şimdi bu kuralların bazılarını aşacak şekilde taleplerini değiştirdi.
Saldırganlar normal savunmasız yolu talep etmek yerine, URL’de tek bir karakter kodlar. Bazı güvenlik duvarları isteği çözmeden önce kontrol eder ve bu nedenle engellenen yolu tanımamaktadır; PeopleSoft ise daha sonra adresi çözer ve isteği savunmasız bileşene gönderir.
Bu teknik, yöneticilerin Oracle’ın güvenlik güncellemesini yüklemek yerine güvenlik duvarı kurallarına güvendiği sistemlere yönelik ShinyHunters’a saldırıları yeniden başlatmasına olanak sağladı. Google, yükseköğretim, teknoloji, BT hizmetleri, sağlık, tarım, ulaşım ve devlet kurumlarında da tehlikeleri gözlemledi.
Erişim sağlandıktan sonra, saldırganlar tehlikedeki sunucular üzerinde uzaktan kontrol sağlayan web kabuğu kurmuşlardır. Google ayrıca tunel araçları ve meşru MeshAgent uzaktan yönetim yazılımının erişimi sürdürmek için dağıtıldığını gözlemlemiştir. Bazı durumlarda, komutlar root veya SYSTEM ayrıcalıklarıyla yürütülüp, etkilenen işletim sistemi üzerinde tam kontrol sağlar.
Google, yenilenen kampanyayla ilgili faaliyetler hakkında dünya çapında 100’den fazla kuruluşu bilgilendirdiğini söylüyor.
Bulgular, ShinyHunters’ın FBI’ın işe alım sitesiyle ilgili yetkisiz faaliyetlerin sorumluluğunu üstlenmesinden kısa bir süre sonra geldi. Grup, PeopleSoft üzerinden FBI sistemlerine eriştiğini ve çalışanlar ile iş başvurularıyla ilgili terabaytlarca bilgi çaldığını söylüyor.
FBI, FBIjobs.gov etkileyen yetkisiz faaliyetleri araştırdığını doğruladı ancak ShinyHunters’ın çalınan veri veya dahili sistemlere erişim hakkındaki daha geniş iddialarını doğrulamadı. Grup ayrıca FBI olayı sırasında aynı PeopleSoft bileşeninde bilinmeyen bir ek güvenlik açığı kullandığını iddia ediyor.