Google предупреждает о новой волне эксплуатации уязвимости Oracle PeopleSoft
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Google предупредила о новой волне массовой эксплуатации критической уязвимости Oracle PeopleSoft CVE-2026-35273 группировкой UNC6240. Злоумышленники обходили правила межсетевых экранов с помощью URL-кодирования и развертывали веб-шеллы на десятках систем в различных секторах по всему миру.
Ключевые факты
- Уязвимость CVE-2026-35273 имеет оценку CVSS 9.8 и позволяет удаленное выполнение кода без аутентификации.
- Mandiant уведомила более 100 организаций по всему миру, чьи IP-адреса совпали с уязвимыми конечными точками, большинство из них находятся в США.
- Злоумышленник обошел правила WAF, закодировав один символ в URL: запрос /%50SEMHUB/ вместо /PSEMHUB/.
- Цели включают высшее образование, технологии, ИТ-услуги, здравоохранение, сельское хозяйство, транспорт и государственный сектор.
- Атакующие развернули два JSP-веб-шелла, x.jsp и u.jsp, в каталоге PSEMHUB.war.
Техника эксплуатации
UNC6240 модифицировала свой эксплойт для обхода правил WAF, блокирующих уязвимую конечную точку Environment Management Hub (PSEMHUB). Злоумышленник обошел строковые правила WAF, закодировав один символ в пути запроса: /%50SEMHUB/ вместо /PSEMHUB/. Многие правила WAF и обратных прокси сопоставляют буквальный путь до URL-декодирования, в то время как сервер приложений PeopleSoft декодирует запрос и направляет его на уязвимый сервлет. Цепочка атаки начинается с POST-запросов к /%50SEMHUB/hub, содержащих сериализованный Java-объект, для выявления уязвимых целей.
Действия после эксплуатации
Атакующие разместили два JSP-веб-шелла в каталоге PSEMHUB.war, чтобы минимизировать обнаружение WAF после эксплуатации. Веб-шелл x.jsp обеспечивает кроссплатформенное выполнение команд, а u.jsp позволяет загружать файлы по частям и выполнять команды через cmd.exe. С помощью u.jsp злоумышленник загрузил валидный подписанный троянизированный установщик Ple64.exe. Ple64.exe загружает SIDEEYE, бэкдор на C++, который связывается с внешним сервером 162.219.30[.]165 по TCP. SIDEEYE обеспечивает кражу учетных данных браузеров и настольных приложений, управление процессами и файлами, интерактивный обратный шелл и возможности обратного прокси.
Закрепление и инструменты
Наряду с Ple64.exe злоумышленник развернул туннельный инструментарий Neo-reGeorg с открытым исходным кодом. Для обеспечения постоянного доступа после размещения веб-шеллов на Linux-системах UNC6240 развернула легитимный инструмент RMM MeshAgent. Активность, связанная с ShinyHunters, впервые была использована как zero-day против академических учреждений для разведки и кражи данных.
2 источника
Время · отставание