گروه هکری ShinyHunters ادعا کرده است که با بهره‌برداری از یک آسیب‌پذیری Zero-Day (زیرو دِی)، به سیستم‌های FBI نفوذ کرده و داده‌های مربوط به تمامی کارکنان و متقاضیان استخدام این سازمان را سرقت کرده است.
انگیزه حمله و جزئیات نشت داده‌ها
این گروه در وب‌سایت افشای داده‌های خود اعلام کرد که این اقدام در پاسخ به اظهارات سازمان FBI در یک اطلاعیه عمومی (PSA) صورت گرفته است. در این اطلاعیه، FBI مدعی شده بود که ShinyHunters دسترسی‌های خود به اطلاعات حساس را برای دریافت باج اغراق‌آمیز جلوه می‌دهد و قربانیان را مورد اذیت و آزار قرار می‌دهد.
نمونه‌ای از داده‌های سرقت شده که در اختیار رسانه‌ها قرار گرفته، شامل اطلاعات شناسایی شخصی (PII) حدود ۵۰۰۰ کارمند FBI از جمله آدرس‌ها، شماره تلفن‌ها، تاریخ تولد و در برخی موارد جزئیات مربوط به همسران آن‌ها است. هدف این گروه در این مورد خاص، اخاذاری مالی نبوده بلکه فشار بر FBI برای حذف یا اصلاح اطلاعیه مذکور بوده است.
تحلیل فنی مسیر نفوذ
بر اساس گزارش‌ها، عامل تهدید ابتدا از یک آسیب‌پذیری Zero-Day در نرم‌افزار Oracle PeopleSoft بهره‌برداری کرده و سپس با حرکت عرضی (Lateral Movement) به سرورهای AWS GovCloud دسترسی یافته و حدود ۲ تا ۳ ترابایت داده را دانلود کرده است.
این اولین بار نیست که این گروه نرم‌افزارهای Oracle را هدف قرار می‌دهد. پیش از این نیز در بازه زمانی می تا ژوئن، از یک آسیب‌پذیری در بخش Environment Management نرم‌افزار PeopleSoft برای حمله به ده‌ها مؤسسه آموزشی استفاده کرده بودند.
توصیه‌های امنیتی برای مدیران SOC و مهندسان امنیت
کارشناسان توصیه می‌کنند کاربران PeopleSoft اقدامات زیر را برای مقابله با این تهدیدات انجام دهند:
- بروزرسانی فوری: اطمینان از اعمال تمامی وصله‌های امنیتی مربوط به آسیب‌پذیری‌های پیشین.
- کاهش سطح حمله: غیرفعال کردن Environment Management Hub یا حذف اپلیکیشن PSEMHUB.
- محدودسازی دسترسی: حذف رابط‌های مدیریتی (Admin) و Integration PeopleSoft از دسترس اینترنت.
- شکار تهدید (Threat Hunting): بررسی فعالیت‌های مشکوک POST در لاگ‌های دسترسی WebLogic و جست‌وجو برای فایل‌های غیرمجاز در دایرکتوری‌های PSEMHUB.
- پایش ترافیک: بررسی ترافیک خروجی روی پورت 445 و شناسایی عوامل مدیریت از راه دور مانند ابزار MeshCentral.
- مدیریت لاگ‌ها: ارسال لاگ‌ها به سرورهای خارجی (Off-host) زیرا مهاجمان تلاش می‌کنند شواهد محلی را پاک کنند.
