پورتال‌های آنلاین استخدامی FBI (شامل apply.fbijobs.gov و fbijobs.gov/special-agents) در حال حاضر از دسترس خارج شده‌اند. این اتفاق در پی ادعای گروه اخاذی سایبری ShinyHunters مبنی بر نفوذ موفقیت‌آمیز به این سیستم‌ها رخ داده است.
جزئیات نفوذ و داده‌های سرقتی
گروه ShinyHunters مدعی است که با بهره‌برداری از یک آسیب‌پذیری زیرو دِی (Zero-Day) در نرم‌افزار Oracle PeopleSoft، به پورتال‌های مذکور نفوذ کرده است. این عامل تهدید (Threat Actor) همچنین ادعا می‌کند که توانسته به سرورهای مدیریت شده FBI در محیط AWS GovCloud دسترسی پیدا کرده و پرونده‌های پرسنلی کارکنان فعلی، سابق و متقاضیان استخدامی را سرقت کند.
بر اساس گزارش‌ها، این گروه به اطلاعات شخصی ده‌ها هزار مامور و متقاضی، و همچنین سوابق پزشکی برخی از آن‌ها دسترسی پیدا کرده است. علاوه بر این، گزارش شده که اسنادی حاوی نقش‌های کارکنان در واحدهای حساس و کمتر شناخته شده FBI نیز سرقت شده است.
تحلیل فنی و دور زدن WAF
تحلیلگران Mandiant و Google Cloud گزارش داده‌اند که ShinyHunters از آسیب‌پذیری CVE-2026-35273 در Oracle PeopleSoft استفاده می‌کنند. نکته حائز اهمیت در این حمله، توانایی مهاجمان در دور زدن قوانین WAF (Web Application Firewall) است.
- روش دور زدن: مهاجمان با استفاده از URL-encoding برای یک کاراکتر در مسیر درخواست، توانستند فیلترهای مبتنی بر رشته (String-based) را دور بزنند. به جای درخواست برای
/PSEMHUB/، آن‌ها از مسیر/%50SEMHUB/استفاده کردند تا به Endpoint آسیب‌پذیر دسترسی یابند. - تکنیک‌های پس از نفوذ: پس از دسترسی اولیه، این گروه از Web Shellها، ابزار مدیریت از راه دور (RMM) به نام MeshAgent و اجرای دستورات بدون فایل (Fileless Command Execution) برای تثبیت حضور خود استفاده می‌کنند.
این حمله نشان می‌دهد که تکیه صرف بر قوانین بازرسی بدنه (Body-inspection) در WAFها برای مقابله با این تهدید کافی نیست و تنها راهکار قطعی، اعمال Patchهای امنیتی توسط سازنده است.
