Oracle

ShinyHuntersという身代金要求グループによる継続的なデータ窃取攻撃の標的となっているのが、Oracle PeopleSoftサーバーです。同グループは、100以上の組織からデータを盗んだと主張しています。

PeopleSoftは、人事、給与、財務、サプライチェーン管理、調達、学生管理などの業務運営を管理するために、大企業で使用されているエンタープライズ向けビジネスソフトウェアスイートです。

昨日、クラウドおよびオンプレミスの両方のOracle PeopleSoft顧客インスタンスを標的とした大規模なデータ窃取攻撃が確認された。これらの顧客は、ShinyHuntersという身代金要求グループが署名した身代金要求を受け取っていた。

image

本日、この脅威アクターは当メディアに対し、自らが攻撃の背後にいることを認め、100以上の組織にまたがる300のインスタンスからデータを盗んだと主張した。

ShinyHuntersは、攻撃の実行に古い脆弱性とゼロデイ脆弱性を組み合わせた「ガジェットチェーン」を使用していると述べています。ただし、彼らの攻撃がすべてのシステムで成功するわけではないとし、攻撃の成功はインスタンスの設定状況に依存する可能性があると指摘しています。

本紙は今朝、データ窃取攻撃においてOracle PeopleSoftのゼロデイ脆弱性が悪用されていることをOracleが把握しているか確認するため同社に問い合わせたが、現時点では回答を得られていない。

この攻撃グループによると、攻撃の影響を受けた組織の多くは教育機関であり、その多くは以前にも同グループから恐喝を受けていたという。

彼らは当初の目的として、PeopleSoftを稼働させているFBIのポータルに侵入し、「声明を発表し、広まっている誤った情報について事実関係を明らかにすること」を挙げていた。しかし、攻撃は成功せず、インスタンスへのアクセス権を取得できなかったと述べている。

この攻撃者は、ノッティンガム大学がこれらの攻撃の被害者であり、同大学のデータはすでにデータリークサイト「ShinyHunters」に公開されていると語った。同大学も本日、サイバーセキュリティインシデントに見舞われたことを認める声明を発表した。

オラクルはこれらの攻撃に関する情報を公に開示していないが、サイバーセキュリティ研究者の「Michael R」氏は、この攻撃に関連するツールが含まれた複数のオンラインディレクトリが公開されていることを発見した。

「ShinyHunters（あるいは彼らを装ったグループ）が、PeopleSoft（ERPソフトウェア）環境に対する継続的な標的型攻撃を明らかにする複数のディレクトリを公開した」と、同研究者は投稿した。

「また、MeshCentralエージェントを含むステージング用素材や、改ざんおよび認証情報スプレー用のスクリプトも確認された」

同研究者は、これらの攻撃に関連するIOC（侵害指標）として以下のIPアドレスを公開した：

142.11.200[.]186
142.11.200[.]187
142.11.200[.]188
142.11.200[.]189
142.11.200[.]190
108.174.202[.]99
176.120.22[.]24

これらのIPアドレスの一部は、共通名（CN）が「azurenetfiles[.]net」であるTLS証明書を使用していました。このドメインは、以前ShinyHuntersという身代金要求グループに関連付けられていたものです。

5台のサーバーからは、攻撃の手口に関する手がかりとなる.bash_historyファイルが公開されていました。これには、PeopleSoftの内部サーバーが侵害された後に、「README-IF-YOU-SEE-THIS-YOUVE-BEEN-HACKED.TXT」という名前の身代金要求メッセージを作成するように設計されたシェルスクリプトが含まれていました。

ShinyHunters script
ShinyHuntersのスクリプト
出典：Michael R

このスクリプトは /etc/hosts を解析して PeopleSoft 関連のシステムを特定し、「psoft」、「oracle」、「linuxadm」などの一般的な PeopleSoft および Oracle 管理者アカウントを使用して SSH 経由でそれらに接続を試みます。

パスワード認証が失敗した場合、スクリプトはフォールバックとして SSH 鍵認証を使用しようとします。

接続に成功すると、スクリプトは PeopleSoft Web サーバーおよびアプリケーションサーバーに関連するディレクトリに身代金要求メッセージを配置します。

Oracle PeopleSoft を実行している場合は、上記の IP アドレスからの接続についてログを分析し、これらの攻撃の標的となったかどうかを確認することを強くお勧めします。

これらの IOC が確認された場合、組織は直ちにインシデント対応を開始し、PeopleSoft インスタンスが侵害されていないかを調査するとともに、環境のセキュリティ確保と検証が完了するまで、影響を受けたサーバーのインターネットアクセスを一時的に停止することを検討すべきです。