PeopleSoft là một bộ phần mềm doanh nghiệp được các tổ chức lớn sử dụng để quản lý các hoạt động kinh doanh như nhân sự, tiền lương, tài chính, quản lý chuỗi cung ứng, mua sắm và quản lý sinh viên.
Theo trang tin BleepingComputer, thời gian qua đã ghi nhận các cuộc tấn công đánh cắp dữ liệu trên diện rộng nhắm vào cả các phiên bản Oracle PeopleSoft trên nền tảng đám mây và on-premises. Các khách hàng đã nhận được các yêu cầu tống tiền được ký số bởi nhóm tin tặc ShinyHunters.
Ngày 09/6, nhóm tin tặc này xác nhận với BleepingComputer rằng chúng đứng sau các vụ tấn công, tuyên bố đánh cắp dữ liệu từ 300 trường hợp thuộc hơn 100 tổ chức khác nhau.
ShinyHunters cho biết chúng đang sử dụng một “chuỗi công cụ” gồm các lỗ hổng cũ và lỗ hổng zero-day để thực hiện các cuộc tấn công. Tuy nhiên, các tác nhân đe dọa nhấn mạnh không phải tất cả hệ thống mục tiêu đều có thể khai thác thành công, ngụ ý rằng điều này có thể phụ thuộc vào cách cấu hình của từng hệ thống riêng biệt.
Theo nhóm tin tặc, hầu hết các tổ chức bị ảnh hưởng bởi các cuộc tấn công này đều thuộc lĩnh vực giáo dục, thậm chí nhiều tổ chức trong số đó trước đây đã từng bị ShinyHunters tống tiền.
Đáng chú ý, những kẻ tấn công tuyên bố mục tiêu ban đầu là xâm nhập vào cổng thông tin của Cục Điều tra Liên bang Mỹ (FBI) đang chạy hệ thống PeopleSoft để “đưa ra tuyên bố và làm rõ một số thông tin sai lệch đang lan truyền”. Tuy nhiên, ShinyHunters cho biết cuộc tấn công không thành công và chúng không thể truy cập vào hệ thống.
Các tin tặc chia sẻ rằng Đại học Nottingham là nạn nhân của các cuộc tấn công này và dữ liệu của nhà trường đã bị công bố trên trang web rò rỉ dữ liệu ShinyHunters. Liên quan đến vụ việc, Đại học Nottingham đã đưa ra một tuyên bố mới đây, thừa nhận họ trở thành nạn nhân của một sự cố an ninh mạng.
Mặc dù Oracle chưa công khai bất kỳ thông tin nào về các cuộc tấn công này, nhưng nhà nghiên cứu an ninh mạng “Michael R” đã tìm thấy một số thư mục trực tuyến bị lộ chứa các công cụ liên quan đến cuộc tấn công.
“Nhóm ShinyHunters (hoặc một nhóm mạo danh họ) đã công khai một số thư mục cho thấy hoạt động nhắm mục tiêu liên tục vào môi trường”, Michael R cho biết. Nhà nghiên cứu này đã chia sẻ các địa chỉ IP liên quan đến các cuộc tấn công, bao gồm: 142[.]11[.]200[.]186, 142[.]11[.]200[.]187, 142[.]11[.]200[.]188, 142[.]11[.]200[.]189, 142[.]11[.]200[.]190, 108[.]174[.]202[.]99 và 176[.]120[.]22[.]24
Một số địa chỉ IP này sử dụng chứng thư số TLS có tên thông dụng là “azurenetfiles[.]net”, đây là một tên miền trước đây có liên quan đến các tin tặc ShinyHunters.
Năm trong số các máy chủ đã để lộ một tập tin .bash_history cung cấp một số thông tin chi tiết về các cuộc tấn công, bao gồm một shell script được thiết kế để tạo ra một ghi chú đòi tiền chuộc có tên “README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT” trên một máy chủ nội bộ của PeopleSoft sau khi bị xâm nhập.
Script của ShinyHunters (Ảnh: Michael R)
Script này phân tích tệp /etc/hosts để xác định các hệ thống liên quan đến PeopleSoft và cố gắng kết nối với chúng qua SSH bằng cách sử dụng các tài khoản quản trị của PeopleSoft và Oracle như “psoft”, “oracle” và “linuxadm”.
Nếu xác thực bằng mật khẩu không thành công, script sẽ cố gắng sử dụng xác thực dựa trên khóa SSH làm phương án dự phòng. Sau khi kết nối, đoạn code sao chép thông báo đòi tiền chuộc vào các thư mục liên kết với máy chủ web và ứng dụng của PeopleSoft.
Các khách hàng đang sử dụng Oracle PeopleSoft được khuyến nghị nên phân tích nhật ký để tìm kiếm bất kỳ kết nối nào từ các địa chỉ IP nêu trên nhằm xác định xem bạn có phải là mục tiêu của các cuộc tấn công này hay không. Trường hợp phát hiện các địa chỉ IP độc hại, các tổ chức nên ngay lập tức bắt đầu quy trình xử lý sự cố, điều tra xem liệu hệ thống PeopleSoft của họ có bị xâm phạm hay không, đồng thời xem xét tạm thời ngắt kết nối các máy chủ bị ảnh hưởng khỏi truy cập Internet.
