ShinyHunters массово атакует Oracle PeopleSoft через критическую уязвимость
Google предупреждает о новой волне атак ShinyHunters на серверы Oracle PeopleSoft. Группа, которую Google отслеживает как UNC6240, снова эксплуатирует CVE-2026-35273, причем теперь умеет обходить часть защитных правил WAF.
Mandiant и Google Threat Intelligence Group зафиксировали компрометацию десятков систем в разных отраслях. Среди пострадавших и потенциальных целей оказались высшее образование, технологии, IT-услуги, здравоохранение, сельское хозяйство, транспорт и государственные организации.
Как обходят WAF
CVE-2026-35273 уже использовалась ShinyHunters как zero-day с 27 мая по 9 июня. Oracle выпустила экстренное обновление 10 июня, однако часть организаций ограничилась настройкой Web Application Firewall.
ShinyHunters нашла способ обходить такие фильтры буквально заменой одного символа.
Вместо запроса к уязвимому адресу /PSEMHUB/ злоумышленники отправляют /%50SEMHUB/. Буква P заменяется на URL-код %50.
Некоторые WAF видят исходный URL и не распознают заблокированный путь. PeopleSoft после декодирования получает обычный /PSEMHUB/ и обрабатывает запрос как обычно.
Получается довольно показательный провал защиты: фильтр считает запрос безопасным, а приложение внутри той же системы видит его как вредоносный.
Что получают атакующие
PeopleSoft используется крупными организациями для HR, расчета зарплат, найма, финансовых и административных процессов. Взлом такого сервера может открыть доступ к конфиденциальным данным сотрудников и стать точкой проникновения во внутреннюю сеть.
После успешной эксплуатации ShinyHunters устанавливает JSP-веб-шеллы, включая x.jsp и u.jsp. Они позволяют выполнять команды и загружать дополнительное вредоносное ПО.
На Windows-системах исследователи обнаружили файл Ple64.exe размером 5,2 МБ. Mandiant отслеживает его как бэкдор SIDEEYE. Он способен красть учетные данные браузеров и приложений, работать с файлами и процессами, предоставлять reverse shell и проксировать трафик во внутренние сети.
Для сохранения доступа также использовались Neo-reGeorg и легитимное ПО удаленного управления MeshAgent.
При чем здесь ФБР
22 сентября ShinyHunters заявила, что получила доступ к инфраструктуре ФБР через сервер PeopleSoft, а затем проникла в другие системы. На опубликованных ранее скриншотах действительно была видна страница FBI Jobs с путем /PSEMHUB/ и системной информацией.
ФБР подтвердило, что знает об этих заявлениях, но не подтвердило кражу 2–3 ТБ данных. Поэтому объем предполагаемой утечки пока остается именно утверждением ShinyHunters.
Mandiant рекомендует администраторам PeopleSoft установить исправление Oracle для CVE-2026-35273, а не рассчитывать только на WAF. Дополнительно стоит отключить или удалить Environment Management Hub там, где он не нужен, и проверить журналы на обычные и закодированные обращения к /PSEMHUB/.
При расследовании компрометации нужно искать неожиданные JSP и исполняемые файлы, неизвестные агенты удаленного управления и менять учетные данные, к которым мог получить доступ взломанный сервер.
