ShinyHunters, Oracle PeopleSoft Sistemlerine Yeni Saldırılar Düzenliyor

Google ve Mandiant araştırmacıları, UNC6240 olarak bilinen ShinyHunters grubunun, Oracle PeopleSoft kurumsal kaynak planlama yazılımını kullanan kuruluşlara yönelik yeni bir kitlesel saldırı kampanyası başlattığını raporladı. Saldırganlar, daha önce Haziran ayında tespit edilen ve CVE-2026-35273 koduyla izlenen sıfırıncı gün açığının modifiye edilmiş bir versiyonunu kullanarak güvenlik duvarlarını aşmayı başarıyor.

Saldırıların merkezinde, PeopleSoft sistemlerinde bulunan Environment Management Hub (PSEMHUB) uç noktası yer alıyor. Araştırmacılar, saldırganların web uygulama güvenlik duvarı (WAF) kurallarını atlatmak için '/PSEMHUB' dizinindeki 'P' harfini URL kodlamasıyla '%50' şeklinde değiştirerek filtreleri devre dışı bıraktığını belirtti. Bu yöntem, sistem yöneticilerinin WAF tarafından korunduğunu düşündüğü uç noktalara doğrudan erişim sağlanmasına olanak tanıyor.

Saldırganlar, sisteme sızdıktan sonra kalıcılık sağlamak amacıyla iki farklı JSP tabanlı web shell yerleştiriyor ve Windows sunucularında SideEye backdoor yazılımını çalıştırıyor. Bu araçlar sayesinde saldırganlar, tarayıcılardan kimlik bilgisi çalabiliyor, dosya ve süreçleri yönetebiliyor ve tersine proxy bağlantıları kurabiliyor. Ayrıca, ağ içinde yanal hareket etmek ve keşif yapmak için açık kaynaklı Neo-reGeorg tünelleme aracı ile MeshCentral uzaktan yönetim platformundan yararlanılıyor.

Saldırıların kapsamı eğitim sektöründen tarım, hükümet, sağlık, teknoloji ve IT hizmetleri gibi çok daha geniş bir yelpazeye yayılmış durumda. Uzmanlar, Oracle tarafından yayınlanan yamaların acilen uygulanmasını, sistemlerdeki olası uzlaşma göstergelerinin (IoCs) taranmasını ve veri hırsızlığına karşı fidye taleplerine hazırlıklı olunmasını tavsiye ediyor.