Google Oracle PeopleSoft осалдығын UNC6240 тобының жаңа толқынды пайдалануы туралы ескертеді
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
Google UNC6240 тобының Oracle PeopleSoft CVE-2026-35273 сыни осалдығын жаппай пайдаланудың жаңа толқыны туралы ескертті. Шабуылдаушылар URL кодтау арқылы желіаралық қалқан ережелерін айналып өтіп, бүкіл әлем бойынша әртүрлі секторлардағы ондаған жүйеге веб-шеллдер орналастырды.
Негізгі фактілер
- CVE-2026-35273 осалдығы CVSS 9.8 бағасына ие және аутентификациясыз қашықтан код орындауға мүмкіндік береді.
- Mandiant бүкіл әлем бойынша IP мекенжайлары осал соңғы нүктелермен сәйкес келген 100-ден астам ұйымды хабардар етті, олардың көпшілігі АҚШ-та орналасқан.
- Шабуылдаушы URL мекенжайындағы бір таңбаны кодтау арқылы WAF ережелерін айналып өтті: /PSEMHUB/ орнына /%50SEMHUB/ сұрауын жіберді.
- Нысандарға жоғары білім, технологиялар, IT қызметтері, денсаулық сақтау, ауыл шаруашылығы, көлік және мемлекеттік сектор кіреді.
- Шабуылдаушылар PSEMHUB.war каталогына x.jsp және u.jsp екі JSP веб-шеллін орналастырды.
Пайдалану техникасы
UNC6240 осал Environment Management Hub (PSEMHUB) соңғы нүктесін блоктайтын WAF ережелерін айналып өту үшін эксплойтын өзгертті. Шабуылдаушы сұрау жолындағы бір таңбаны кодтау арқылы WAF жолдық ережелерін айналып өтті: /PSEMHUB/ орнына /%50SEMHUB/. Көптеген WAF және кері прокси ережелері URL декодтауға дейін сөзбе-сөз жолды салыстырады, ал PeopleSoft қолданба сервері сұрауды декодтап, оны осал сервлетке бағыттайды. Шабуыл тізбегі осал нысандарды анықтау үшін серияланған Java нысанын қамтитын /%50SEMHUB/hub мекенжайына POST сұрауларынан басталады.
Пайдаланудан кейінгі әрекеттер
Шабуылдаушылар пайдаланудан кейін WAF анықтауын азайту үшін PSEMHUB.war каталогына екі JSP веб-шеллін орналастырды. x.jsp веб-шеллі кросс-платформалық командаларды орындауды қамтамасыз етеді, ал u.jsp файлдарды бөліктермен жүктеуге және cmd.exe арқылы командаларды орындауға мүмкіндік береді. u.jsp көмегімен шабуылдаушы жарамды қол қойылған трояндандырылған Ple64.exe орнатушысын жүктеді. Ple64.exe сыртқы 162.219.30[.]165 серверімен TCP арқылы байланысатын C++ тіліндегі SIDEEYE бэкдорын жүктейді. SIDEEYE браузерлер мен жұмыс үстелі қосымшаларының тіркелгі деректерін ұрлауды, процестер мен файлдарды басқаруды, интерактивті кері шеллді және кері прокси мүмкіндіктерін қамтамасыз етеді.
Бекіту және құралдар
Ple64.exe-мен қатар шабуылдаушы ашық бастапқы коды бар Neo-reGeorg туннельдік құралдарын орналастырды. Linux жүйелерінде веб-шеллдерді орналастырғаннан кейін тұрақты қолжетімділікті қамтамасыз ету үшін UNC6240 заңды MeshAgent RMM құралын орналастырды. ShinyHunters-пен байланысты белсенділік алғаш рет академиялық мекемелерге қарсы барлау және деректерді ұрлау үшін zero-day ретінде пайдаланылды.
2 дереккөз
Уақыт · артта қалуы