ShinyHunters richt pijlen op Oracle PeopleSoft

In dit artikel:

Een grootschalige reeks aanvallen treft organisaties die Oracle PeopleSoft gebruiken; de afpersingsgroep ShinyHunters beweert gegevens te hebben buitgemaakt uit honderden PeopleSoft-instanties en zegt dat meer dan honderd afzonderlijke organisaties geraakt zijn. Onderzoekers melden dat de aanvallers zowel oudere, bekende lekken als mogelijk nog onbekende kwetsbaarheden benutten, waardoor zowel cloud‑ als lokaal beheerde PeopleSoft‑omgevingen doelwit worden — al blijken niet alle installaties even kwetsbaar; succes hangt sterk samen met inrichting en beheer.

Analyses toonden dat de daders een eigen infrastructuur en openbare hulpmiddelen hebben opgezet om PeopleSoft‑systemen te vinden en te compromitteren. Er zijn scripts gevonden die gericht zijn op het identificeren van systemen en het misbruiken van beheeraccounts. Na een geslaagde inbraak plaatsen de aanvallers automatisch afpersingsberichten op de getroffen servers en proberen ze via SSH toegang te krijgen met zowel wachtwoorden als bestaande authenticatiesleutels.

De University of Nottingham heeft publiekelijk bevestigd slachtoffer te zijn, en volgens de groep zouden gegevens van die instelling inmiddels op hun datalekplatform staan. Oracle heeft nog geen publieke reactie gegeven, waardoor het onduidelijk is of er sprake is van een zeroday in PeopleSoft of alleen van uitbuiting van bekende kwetsbaarheden.

Beveiligingsonderzoekers waarschuwen gebruikers van PeopleSoft om logbestanden nauwkeurig te onderzoeken op verdachte verbindingen en sporen van ongeautoriseerde toegang. Aanbevelingen zijn onder meer het onmiddellijk controleren en toepassen van relevante patches, het beperken en monitoren van beheeraccounts, het roteren van sleutels en wachtwoorden, en het aanscherpen van SSH‑toegang en netwerksegmentatie.

De campagne illustreert dat ShinyHunters actief op zoek is naar nieuwe doelwitten binnen het PeopleSoft‑ecosysteem; organisaties die PeopleSoft draaien doen er verstandig aan hun beveiliging en incidentresponsprocessen te vergaren en te testen.