В сентябре 2026 года кампания против корпоративных систем Oracle PeopleSoft получила новый размах. Группировка UNC6240, известная также как ShinyHunters, доработала свой инструмент и научилась обходить защиту, которую организации выстроили летом. Под удар попали десятки компаний в разных странах: вузы, технологические и ИТ-компании, медицинские учреждения, предприятия агропрома, транспорта и госсектора. На захваченных серверах остаются скрытые инструменты для управления и кражи данных.
Описание
Предыстория началась в июне. Уязвимость нулевого дня CVE-2026-35273 использовали с 27 мая по 9 июня, и почти все цели тогда относились к высшему образованию. Oracle выпустила экстренное уведомление 10 июня. Рекомендации сводились к установке исправления; тем, кто не мог пропатчить систему или отключить служебный компонент немедленно, советовали закрыть доступ к нему из интернета. Одних правил фильтрации запросов для этого оказалось мало.
По данным Mandiant и Google Threat Intelligence Group, новая волна нацелена именно на организации, которые ограничились настройками межсетевого экрана веб-приложений (WAF - фильтр, проверяющий запросы к сайту и отсекающий подозрительные) и не установили патч. Механизм обхода оказался простым. Злоумышленник заменил один символ в адресе запроса на его кодированное представление. Фильтр сравнивает адрес в буквальном виде, совпадения не находит и пропускает обращение. Сервер PeopleSoft поступает иначе: сначала расшифровывает адрес, потом направляет запрос к уязвимому компоненту. Обращение доходит до цели, хотя администраторы считали риск закрытым.
Перед эксплуатацией сервер получает от пяти до пятнадцати коротких запросов с подготовленным набором данных. Ответ выдаёт версию операционной системы, файлы на диск не записываются, служба не прерывается. Так злоумышленник тихо проверяет, пригодна ли машина для атаки. Дальше возможны два пути. Первый - размещение веб-оболочки, то есть небольшого серверного скрипта, который открывает удалённый доступ к командной строке. Если серверов несколько и перед ними стоит балансировщик нагрузки, запросы отправляют серией, чтобы копия оболочки досталась каждой машине. Второй путь - выполнение команд без записи файлов: результат возвращается прямо в ответе на запрос.
Для закрепления в системе применяют две оболочки. Первая выполняет команды и на Windows, и на Linux, передавая их в закодированном виде, чтобы не попадать под сигнатуры фильтров. Вторая нужна для загрузки крупных файлов: их передают блоками по 150 килобайт, собирают на сервере и запускают.
На серверах под управлением Windows через эту оболочку размещают троянизированный установщик медиапроигрывателя Light Alloy размером около пяти мегабайт. Файл подписан действующим сертификатом расширенной проверки, поэтому система не видит в нём угрозы. Внутри спрятаны три уровня: первый распаковывает второй, тот расшифровывает данные прямо в памяти и передаёт управление третьему. Третий уровень - вредоносная программа SIDEEYE на C++, она связывается с командно-контрольным сервером (C2-сервер, узел управления заражёнными машинами) через два сетевых порта. Программа умеет красть пароли из браузеров и настольных приложений, управлять файлами и процессами, открывать удалённую командную строку и работать как прокси. Компания Mandiant обратилась к удостоверяющему центру с просьбой отозвать сертификат.
Рядом злоумышленники размещают открытый инструмент для туннелирования. Он пропускает внутренний трафик через обычные веб-запросы и упрощает разведку внутренней сети с последующим боковым перемещением. На серверах Linux дополнительно оставляют агент законной платформы удалённого управления MeshCentral. Настройки агента лежат в служебном каталоге для временных файлов, а соединения уходят на домены, имитирующие ресурсы Microsoft.
Четверть команд выполнялась с правами root или системной учётной записи, то есть с полным контролем над машиной. Остальные шли от имени служебных учётных записей PeopleSoft и сервера приложений. Этого хватает для доступа к настройкам, строкам подключения к базе данных и прикладной информации. Основные действия сводятся к разведке окружения, проверке запущенных процессов и подготовке следующих шагов.
Исправление Oracle закрывает саму уязвимость, поэтому установить его нужно в первую очередь. Если служба управления средой не используется, её отключают, а в односерверной конфигурации удаляют приложение целиком. Дальше разумно просмотреть журналы обращений к служебному компоненту, включая запросы с искажёнными адресами, и проверить каталоги приложения на посторонние скрипты и исполняемые файлы. Все учётные данные, доступные службе PeopleSoft, включая строки подключения к базе данных и учётные записи облачных сервисов, лучше сменить. Отдельного внимания требует исходящий трафик с серверов PeopleSoft, крупные архивы во временных и общедоступных каталогах, а также массовые выгрузки в журналах базы данных - особенно по кадровым, расчётным и студенческим записям.
Цена такой атаки высока. PeopleSoft хранит персональные данные сотрудников, студентов и финансовую отчётность, поэтому утечка оборачивается штрафами, исками и потерей доверия. Простой системы может остановить кадровые и расчётные процессы на недели.
Мотив кампании известен: ShinyHunters годами зарабатывает на краже данных и вымогательстве, угрожая опубликовать похищенное, если жертва не заплатит. Организациям разумно заранее определить порядок действий на случай требований и следить за возможной публикацией своих данных. Патч, отключение лишних служебных компонентов и контроль за тем, что запускается на серверах приложений, снижают вероятность повтора.
Индикаторы компрометации
