谷歌警告称，针对Oracle PeopleSoft的已知安全漏洞的再次大规模利用，成为针对全球多个行业的活动的一部分。
与ShinyHunters相关的活动涉及利用CVE-2026-35273（CVSS评分：9.8），这是一个可能导致未经身份验证的远程代码执行的关键安全缺陷。
该漏洞首次在针对学术机构的攻击中被利用，进行侦察，部署像MeshCentral代理这样的远程访问软件以保持持久性，通过SSH横向移动，运行shell脚本通过SSH连接到其他内部PeopleSoft机器，使用已知的用户名/密码组合，并窃取数据。
当时，谷歌旗下的Mandiant表示，它已向超过100个全球组织发出通知，这些组织的IP地址与易受攻击的端点匹配，其中大多数位于美国。
“这一波新活动源于UNC6240修改其利用代码，以绕过阻止易受攻击的环境管理中心（PSEMHUB）端点的Web应用防火墙（WAF）规则，”Mandiant表示。
“威胁行为者通过在请求路径中URL编码单个字符，绕过了这些基于字符串的WAF规则，请求/%50SEMHUB/而不是/PSEMHUB/。许多WAF和反向代理规则在URL解码之前匹配字面路径，而PeopleSoft应用服务器解码请求并将其路由到易受攻击的servlet。”
最新活动的目标包括涵盖高等教育、技术、IT服务、医疗保健、农业、运输和政府部门的实体，攻击者在数十个系统上部署了Web Shell。
整个攻击链如下 -
通过向"/%50SEMHUB/hub"发送包含序列化Java对象的POST请求来识别易受攻击的目标。
通过在POST请求中使用字符P的编码形式（即"%50"）绕过WAF规则："/%50SEMHUB/hub"。
利用PSEMHUB hub servlet中的Java反序列化来部署Web Shell并实现无文件命令执行。
在PSEMHUB.war目录中放置两个JSP Web Shell，以尽量减少后期利用期间的WAF检测：“x.jsp”启用跨平台命令执行，而“u.jsp”允许将分块文件上传到服务器并通过“cmd.exe”执行命令。
使用“u.jsp”上传一个有效的、签名的被篡改的安装程序（“Ple64.exe”），该程序在内存中加载SIDEEYE，这是一个与外部服务器（“162.219.30[.]165”）通过TCP通信的C++后门，用于促进浏览器和桌面应用程序凭证盗窃、进程和文件管理、交互式反向Shell和反向代理功能。
“除了部署Ple64.exe外，威胁行为者还部署了开源的Neo-reGeorg隧道工具包，”谷歌表示。“为了在Linux系统上放置Web Shell后建立持久访问，UNC6240部署了合法的RMM工具MeshAgent。”
据说大约四分之一的威胁行为者命令以root或NT Authority\SYSTEM身份执行，使他们获得操作系统的完全控制。其余命令被发现是在PeopleSoft或WebLogic服务账户下运行的。
为了应对这一威胁，组织需要执行以下步骤 -
应用CVE-2026-35273的补丁。
在多服务器配置中禁用环境管理中心（EMHub）服务，或在单服务器配置中完全移除PSEMHUB应用。
搜索WebLogic访问日志中对"/PSEMHUB/"及任何百分号编码变体的请求。
检查“PSEMHUB.war”目录中的JSP Web Shell和其他恶意工件。
轮换PeopleSoft应用服务账户可读的凭证。
在临时或可通过Web访问的目录中搜索PeopleSoft和数据库主机的大型归档文件。
审查数据库审计日志中对HR、工资和学生记录表的大量查询或导出。
监控PeopleSoft主机的外发流量。
“UNC6240有一个成熟的数据盗窃勒索模式，即窃取数据并威胁在数据泄露网站上发布，除非受害者支付赎金，”谷歌表示。“受影响的组织应为勒索通信做好准备，并监控被盗数据的潜在公开曝光。”
此次披露正值ShinyHunters集团入侵美国联邦调查局的FBIJobs.gov门户（截至撰写时仍无法访问），并窃取约2-3 TB的敏感数据，以反驳该机构在2026年5月的警报中对该集团提出的指控。
“我们想重申并强调，我们并没有勒索FBI，”ShinyHunters的一位发言人告诉The Hacker News。“这不是出于经济动机。这不是赎金或勒索。我们所寻求的只是澄清事实并保护我们组织的形象。”
发言人还告诉该出版物，FBI职位门户是通过Oracle PeopleSoft中的一个不同于CVE-2026-35273的零日漏洞被攻破的。在与The Register分享的另一份声明中，该集团表示他们最初是GnosticPlayers，随后在2020年更名为ShinyHunters。
觉得这篇文章有趣吗？请在Google新闻、Twitter和LinkedIn上关注我们，以阅读更多我们发布的独家内容。